IT Gazzetta ufficiale dell'Unione europea C 200/10

Sintesi del parere sulla proposta di direttiva relativa a determinati aspetti dei contratti di fornitura di contenuto digitale

(Il testo integrale del parere è disponibile in EN, FR e DE sul sito del GEPD www.edps.europa.eu)

(2017/C 200/07)

Il GEPD riconosce l’importanza di un’economia basata sui dati per la crescita nell’Unione europea e il suo ruolo di rilievo nell’ambiente digitale, come stabilito nella strategia per il mercato unico digitale. Abbiamo costantemente promosso sinergie e complementarità tra le norme in materia di tutela dei consumatori e protezione dei dati. Condividiamo pertanto l’obiettivo della proposta di direttiva presentata dalla Commissione nel dicembre 2015, relativa a determinati aspetti dei contratti di fornitura di contenuto digitale, per rafforzare la protezione dei consumatori sollecitati a divulgare dati quale condizione per la fornitura di «beni digitali».

Nondimeno, la proposta presenta un aspetto problematico, dal momento che sarà applicabile alle situazioni in cui per i contenuti digitali viene corrisposto un prezzo, ma anche quando un contenuto digitale viene fornito a fronte di una controprestazione non pecuniaria sotto forma di dati personali o di qualsiasi altro dato. Il GEPD mette in guardia contro nuove disposizioni che introducono il concetto che le persone possono pagare con i propri dati, nello stesso modo in cui pagano in denaro. I diritti fondamentali, come il diritto alla protezione dei dati personali, non possono essere ridotti a semplici interessi dei consumatori e i dati personali non possono essere considerati una mera merce.

Il quadro di protezione dei dati recentemente adottato (il «RGPD») non è ancora pienamente in vigore e la proposta di nuove disposizioni in materia di ePrivacy è attualmente in discussione. L’UE dovrebbe pertanto evitare nuove proposte che perturbano il delicato equilibrio negoziato dal legislatore dell’UE in materia di protezione dei dati. La sovrapposizione di iniziative potrebbe involontariamente compromettere la coerenza del mercato unico digitale, risultando in una frammentazione normativa e nell’incertezza giuridica. Il GEPD raccomanda all’UE di applicare il RGPD come mezzo per disciplinare l’utilizzo dei dati personali nell’economia digitale.

La nozione di «dati come controprestazione» - non definita nella proposta - potrebbe creare confusione circa l’esatta funzione dei dati in una determinata transazione. La mancanza di informazioni chiare da parte dei fornitori a questo proposito potrebbe aggiungere ulteriori difficoltà. Per risolvere questo problema suggeriamo, pertanto, di utilizzare la definizione di servizi di cui al TFUE o la disposizione utilizzata dal RGPD per definire il suo ambito di applicazione territoriale.

Il presente parere esamina le diverse potenziali interazioni della proposta con il RGPD.

In primo luogo, l’ampia definizione di «dati personali» ai sensi della legislazione in materia di protezione dei dati potrebbe avere come effetto che tutti i dati soggetti alla direttiva proposta siano considerati «dati personali» ai sensi del RGPD.

In secondo luogo, le rigorose condizioni per effettuare un trattamento sono già stabilite dal RGPD e non richiedono modifiche o aggiunte ai sensi della direttiva proposta. Mentre la proposta sembra considerare legittimo l’uso dei dati come controprestazione, il RGPD prevede, ad esempio, una nuova serie di condizioni per valutare la validità del consenso e determinare se possa essere considerato manifestazione di volontà libera nel contesto di transazioni digitali.

Infine, i diritti che vengono proposti ai consumatori per ottenere i propri dati dal fornitore alla risoluzione del contratto, e l’obbligo per il fornitore di astenersi dall’utilizzare i dati, presentano potenziali sovrapposizioni con i diritti di accesso e portabilità, con l’obbligo del fornitore di astenersi dall’utilizzare i dati e gli obblighi dei responsabili del trattamento dei dati ai sensi del RGPD. Questo potrebbe involontariamente indurre a confusione per quanto concerne il sistema applicabile.

1. INTRODUZIONE E CONTESTO

1.1. La consultazione del GEPD da parte del Consiglio

1. Il 9 dicembre 2015, la Commissione europea ha presentato due proposte legislative riguardanti nuove norme contrattuali sulla vendita online. Le norme proposte per i contratti del settore digitale comprendono due progetti legislativi: — una proposta di direttiva relativa a determinati aspetti dei contratti di fornitura di contenuto digitale (1), — una proposta di direttiva relativa a determinati aspetti dei contratti di vendita online di beni (materiali) (2).

2. Le due proposte vanno considerate come un pacchetto avente obiettivi comuni, e in particolare, rimuovere i principali ostacoli al commercio elettronico transfrontaliero nell’UE (3). Per quanto riguarda più specificamente la proposta di direttiva concernente i contratti di fornitura di contenuto digitale ai consumatori (in appresso «la proposta»), il suo intento è creare un unico corpus di norme che disciplini i contratti di vendita e noleggio di contenuti digitali, nonché i contratti per servizi di contenuto digitale (4). Al momento dell’adozione della proposta, il GEPD non era stato consultato dalla Commissione.

3. Il 21 novembre 2016, la commissione LIBE ha emesso un parere sulla proposta (5). Il 7 novembre 2016. la Commissione per il mercato interno e la protezione dei consumatori e la Commissione giuridica del Parlamento hanno pubblicato un progetto di relazione congiunta sulla proposta (6).

4. Il Consiglio sta attualmente discutendo la proposta all’interno del gruppo per le questioni civili (diritto contrattuale). In tale contesto, il 10 gennaio 2017 il Consiglio ha deciso di consultare il GEPD sulla proposta. Quest’ultimo accoglie con favore l’iniziativa del Consiglio di consultare il GEPD su questa importante proposta legislativa che solleva molte domande con riferimento al diritto dell’UE sulla protezione dei dati personali. Il presente parere è la risposta del GEPD alla richiesta del Consiglio.

1.2. La proposta

5. Attualmente la fornitura di contenuto digitale a livello dell’UE è disciplinata in parte dalla direttiva sui diritti dei consumatori (7), dalla direttiva sulle clausole abusive (8) e dalla direttiva sul commercio elettronico (9). La direttiva sulle vendite ai consumatori non è applicabile, dal momento che la definizione di «beni di consumo» in tale direttiva si estende solo ai «beni mobili materiali».

6. Diversi Stati membri hanno già adottato norme specifiche per i contenuti digitali, creando differenze, in termini di ambito di applicazione e contenuto, tra le norme nazionali che disciplinano tali contratti (10). La proposta si prefigge pertanto di prevedere una protezione armonizzata dei consumatori per quanto riguarda il contenuto digitale. In questo contesto, la proposta prevede un livello massimo di armonizzazione.

7. Per quanto riguarda il campo di applicazione della proposta, vi rientrerebbero non solo beni digitali (come film o musica, programmi informatici, applicazioni mobili, libri elettronici), ma anche servizi digitali (ad esempio, piattaforme di media sociali e servizi di cloud computing). Per rientrare nel campo di applicazione della direttiva proposta, un contratto digitale deve prevedere un prezzo che il consumatore deve corrispondere, oppure quest’ultimo deve «[fornire] attivamente una controprestazione […] sotto forma di dati personali o di qualsiasi altro dato» (11).

8. La proposta introduce una «gerarchia di rimedi» in caso di difetto di conformità del contenuto digitale o del servizio fornito dal venditore, e prevede il diritto del consumatore di recuperare i dati in un «formato di uso comune», alla risoluzione del contratto (12). La proposta impone altresì ai fornitori l’obbligo di astenersi dall’uso dei dati forniti a titolo di controprestazione dopo la risoluzione del contratto (13).

9. La proposta fa riferimento al concetto di dati personali in tre situazioni: — l’uso dei dati (compresi i dati personali) come «controprestazione non pecuniaria» (14), — un riferimento a dati «strettamente [necessari] ai fini dell’esecuzione del contratto» (15), — un riferimento a «altri dati prodotti o generati a seguito dell’utilizzo del contenuto digitale da parte del consumatore» (16).

10. Il riferimento al concetto di dati personali crea una potenziale interazione tra la proposta e le norme sulla protezione dei dati, come stabilito, tra l’altro, dalla direttiva sulla protezione dei dati 95/46/EC (17) e dal RGPD (18). Inoltre, come indicato nella proposta, la direttiva non pregiudica la tutela delle persone fisiche con riguardo al trattamento dei dati personali (19). Il presente parere esaminerà, pertanto, l’interazione tra la proposta e il quadro dell’UE attuale e futuro in materia di protezione dei dati (20).

CONCLUSIONE

79. Il GEPD accoglie favorevolmente l’iniziativa della Commissione, che intende fornire un’ampia protezione ai consumatori nell’UE, estendendo tale protezione ai «beni digitali» e includendo i casi in cui i consumatori non pagano un corrispettivo in denaro.

80. Il GEPD riconosce l’importanza di disporre di norme chiare e aggiornate, che possano accompagnare e favorire lo sviluppo dell’economia digitale. A tale riguardo, il GEPD continua a seguire attivamente le iniziative della Commissione per quanto riguarda il mercato unico digitale, dal momento che l’importanza dei dati quale fonte di crescita e innovazione sta alla base di tali iniziative.

81. In tale contesto, accogliamo con favore l’iniziativa del Consiglio di consultare il GEPD. Per il GEPD questa è un’occasione per presentare diverse raccomandazioni e messaggi ai legislatori, in sede di discussione della proposta presentatagli.

82. Con riferimento all’interazione della proposta con la normativa sulla protezione dei dati: — la proposta solleva una serie di questioni in ragione della natura di diritti fondamentali di tali dati e della protezione specifica accordata a tali dati nell’ambito del quadro giuridico dell’UE in materia di protezione dei dati, — la proposta dovrebbe evitare di prevedere disposizioni che potrebbero ripercuotersi sul quadro di protezione dei dati, dal momento che essa si fonda sull’articolo 114, TFUE, che non costituisce più la base adeguata per disciplinare il trattamento dei dati, — la proposta non dovrebbe in alcun modo alterare l’equilibrio raggiunto dal RGPD per quanto riguarda le circostanze in cui il trattamento dei dati personali può avvenire nel mercato digitale.

83. Con riferimento all’uso dei dati come controprestazione: — il GEPD ritiene che il termine «dati come controprestazione» dovrebbe essere evitato, — a tal fine, il GEPD propone le seguenti alternative: — l’utilizzo della nozione di «servizi» nel diritto dell’UE può essere utile nel considerare come inquadrare i servizi quando non viene pagato un prezzo, — può costituire un’utile considerazione anche l’ambito di applicazione del RGPD, in cui rientrano beni e servizi a prescindere dal fatto che venga richiesto un pagamento.

84. Con riferimento all’interazione della proposta con il RGPD: — considerando l’ampia definizione di dati personali, è probabile che quasi tutti i dati forniti dal consumatore al fornitore del contenuto digitale saranno considerati dati personali, — il GEPD raccomanda di evitare riferimenti a dati forniti (attivamente) dal consumatore, dal momento che ciò è in contraddizione con le norme esistenti e future sulla protezione dei dati, — la proposta dovrebbe stabilire esplicitamente che i dati trattati dai fornitori possono essere utilizzati solo nella misura in cui ciò sia in linea con il quadro giuridico dell’UE in materia di protezione dei dati, compresi il RGPD e le disposizioni in materia di ePrivacy, — il GEPD raccomanda che gli articoli 13 e 16 della proposta facciano riferimento al RGPD, quando si tratta di diritti di cancellazione e di accesso ai dati, nella misura in cui si tratti di dati personali. In caso di trattamento di dati non personali («altri dati»), il GEPD raccomanda che le disposizioni degli articoli 13 e 16 siano allineate al sistema previsto dal RGPD, per motivi di coerenza.

Bruxelles, 14 marzo 2017 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) Proposta di direttiva del Parlamento europeo e del Consiglio relativa a determinati aspetti dei contratti di fornitura di contenuto digitale, COM/2015/0634, consultabile al seguente indirizzo: http://eur-lex.europa.eu/legal-content/IT/TXT/?qid=1450431933547&uri=CELEX:52015PC0634

(2) Proposta di direttiva del Parlamento europeo e del Consiglio relativa a determinati aspetti dei contratti di vendita online e di altri tipi di vendita a distanza di beni, COM/2015/0635 final.

(3) Per maggiori informazioni consultare http://ec.europa.eu/justice/contract/digital-contract-rules/index_en.htm

(4) In questo ambito vi era già stato un tentativo della Commissione: cfr. la proposta di regolamento del Parlamento europeo e del Consiglio relativo a un diritto comune europeo della vendita, COM/2011/0635 definitivo; questa proposta è stata abbandonata dalla Commissione.

(5) Consultabile all’indirizzo http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-%2f%2fEP%2f%2fNONSGML%2bCOMPARL%2bPE-582.370%2b03%2bDOC%2bPDF%2bV0%2f%2fIT

(6) Consultabile all’indirizzohttp://www.europarl.europa.eu/sides/getDoc.do?pubRef=-%2f%2fEP%2f%2fNONSGML%2bCOMPARL%2bPE-582.370%2b03%2bDOC%2bPDF%2bV0%2f%2fIT

(7) Direttiva 2011/83/UE del Parlamento europeo e del Consiglio, del 25 ottobre 2011, sui diritti dei consumatori, recante modifica della direttiva 93/13/CEE del Consiglio e della direttiva 1999/44/CE del Parlamento europeo e del Consiglio e che abroga la direttiva 85/577/CEE del Consiglio e la direttiva 97/7/CE del Parlamento europeo e del Consiglio (GU L 304 del 22.11.2011, pag. 64).

(8) Direttiva 93/13/CEE del Consiglio, del 5 aprile 1993, concernente le clausole abusive nei contratti stipulati con i consumatori (GU L 95 del 21.4.1993, pag. 29).

(9) Direttiva 2000/31/CE del Parlamento europeo e del Consiglio, dell’8 giugno 2000, relativa a taluni aspetti giuridici dei servizi della società dell’informazione, in particolare il commercio elettronico, nel mercato interno («direttiva sul commercio elettronico») (GU L 178 del 17.7.2000, pag. 1).

(10) Cfr. la relazione della proposta, pag. 3.

(11) Cfr. l’articolo 3, paragrafo 1, della proposta.

(12) Cfr. l’articolo 13, paragrafo 2, lettera c), della proposta.

(13) Cfr. l’articolo 13, paragrafo 2, lettera b), della proposta.

(14) Cfr. l’articolo 3, paragrafi 1 e 4, l’articolo 13, paragrafo 2, lettera b), l’articolo 15, paragrafo 2, lettera c), e l’articolo 16, paragrafo 4, lettera a), della proposta.

(15) Cfr. l’articolo 3, paragrafo 4, della proposta.

(16) Cfr. l’articolo 13, paragrafo 2, lettera b), e l’articolo 16, paragrafo 4, lettera b), della proposta..

(17) Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281 del 23.11.1995, pag. 31).

(18) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).

(19) Articolo 3, paragrafo 8, della proposta.

(20) Attualmente, nel contesto dell’analisi della proposta, i testi principali applicabili sono la direttiva 95/46/CE, che sarà abrogata e sostituita dal regolamento (UE) 2016/679, e la direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU L 201 del 31.7.2002, pag. 37) (denominata anche «direttiva e-privacy»). La direttiva e-privacy dovrebbe essere abrogata dalla recente proposta di regolamento del Parlamento europeo e del Consiglio relativo al rispetto della vita privata e alla tutela dei dati personali nelle comunicazioni elettroniche e che abroga la direttiva 2002/58/CE, del 10 gennaio 2017, COM (2017) 10 final (regolamento sulla vita privata e le comunicazioni elettroniche).