Source: http://curia.europa.eu/juris/document/document.jsf?text=&docid=209357&pageIndex=0&doclang=IT&mode=req&dir=&occ=first&part=1&cid=2874226
Timestamp: 2019-03-22 06:07:19+00:00

Document:
3 Direttiva del Parlamento europeo e del Consiglio del 23 aprile 2009 (GU 2009, L 110, pag. 30).
4 Osservo che nella decisione di rinvio si dichiara che il plugin è stato messo a disposizione della convenuta dalla Facebook Ireland o dalla controllante di quest’ultima, Facebook Inc., costituta negli Stati Uniti d’America. Tuttavia, sembrerebbe che dinanzi al giudice del rinvio, nonché nel procedimento dinanzi a questa Corte, la Facebook Ireland assuma l’eventuale responsabilità ai sensi della direttiva 95/46 nell’ambito del presente procedimento. Non vedo quindi alcun motivo per discutere la potenziale applicabilità della direttiva 95/46 alla controllante della Facebook Ireland.
5 Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46 (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1).
6 «2. Gli Stati membri possono prevedere che un organismo, organizzazione o associazione di cui al paragrafo 1 del presente articolo, indipendentemente dal mandato conferito dall’interessato, abbia il diritto di proporre, in tale Stato membro, un reclamo all’autorità di controllo competente, e di esercitare i diritti di cui agli articoli 78 e 79, qualora ritenga che i diritti di cui un interessato gode a norma del presente regolamento siano stati violati in seguito al trattamento».
7 Aggiungendo, al contempo, per completezza, che sebbene la sentenza del 28 luglio 2016, Verein für Konsumenteninformation (C‑191/15, EU:C:2016:612) riguardasse una questione di interpretazione della direttiva 95/46, sorta in un procedimento nazionale avviato da un’associazione, la Corte non si è pronunciata riguardo alla legittimazione ad agire dell’associazione in tale causa, semplicemente perché tale specifica questione non è stata sollevata.
8 Come ribadito, ad esempio, nelle sentenze del 23 maggio 1985, Commissione/Germania (C‑29/84, EU:C:1985:229, punto 22), del 14 febbraio 2012, Flachglas Torgau (C‑204/09, EU:C:2012:71, punto 60), e del 19 aprile 2018, CMR (C‑645/16, EU:C:2018:262, punto 19).
9 Sentenza del 13 maggio 2014, Google Spain e Google (C‑131/12, EU:C:2014:317, punto 53).
10 V. anche sentenza del 16 dicembre 2008, Huber (C‑524/06, EU:C:2008:724, punto 50).
11 Contrariamente, quindi, alla sentenza del 25 gennaio 2018, Schrems (C‑498/16, EU:C:2018:37), che non riguardava alcuna cessione di diritti a un particolare soggetto e sembrava avere una chiara base giuridica nel diritto nazionale per ciò che risulta essere una forma di rappresentanza dell’interesse collettivo dei consumatori.
12 Oppure, detto in altri termini, gli Stati membri devono anche prevedere, in particolare per quanto riguarda la struttura istituzionale e le procedure, una serie di ulteriori questioni, alle quali non verrebbe fatto ugualmente esplicito riferimento in una direttiva (come, sotto il profilo dell’applicazione in via giurisdizionale di un diritto, non solo le questioni della legittimazione ad agire, ma anche, ad esempio, i termini di presentazione di un ricorso, le (eventuali) spese processuali, la competenza dei giudici ecc.). Pertanto, si potrebbe anche affermare che, poiché né l’articolo 22 né l’articolo 24 della direttiva 95/46 menzionano tali aspetti, allo Stato membro è altresì impedito di disciplinare siffatti aspetti nel diritto nazionale?
13 Come definiti all’articolo 3 della direttiva 2009/22.
14 V. ad esempio, sentenze del 6 novembre 2003, Lindqvist (C‑101/01, EU:C:2003:596, punto 96), del 16 dicembre 2008, Huber (C‑524/06, EU:C:2008:724, punto 51), del 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Crédito(C‑468/10 e C‑469/10, EU:C:2011:777, punto 29) e del 7 novembre 2013,IPI(C‑473/12, EU:C:2013:715, punto 31).
15 Sentenza del 6 novembre 2003, Lindqvist (C‑101/01, EU:C:2003:596, punto 97).
16 V. le mie conclusioni nella causa Dzivev (C‑310/16, EU:C:2018:623, paragrafi 72 e 74).
17 Riportati supra al paragrafo 8.
18 V. nuovamente gli esempi riportati supra alla nota 12.
19 Che sono incaricate, ai sensi dell’articolo 28 della direttiva 95/46, di sorvegliare l’applicazione delle disposizioni di attuazione, adottate ai sensi della stessa direttiva.
20 Sulla regola prescritta ai sensi dell’articolo 28, paragrafo 1, della direttiva 95/46, v. sentenze del 9 marzo 2010, Commissione/Germania (C‑518/07, EU:C:2010:125, punti da 18 a 30), e del 16 ottobre 2012, Commissione/Austria (C‑614/10, EU:C:2012:631, punti da 41 a 66).
21 Per analogia con un altro settore del diritto, l’applicazione a livello privato, ad esempio, del diritto della concorrenza minaccerebbe, quindi, anche l’indipendenza delle autorità (nazionali) garanti della concorrenza? V. sentenze del 20 settembre 2001, Courage e Crehan (C‑453/99, EU:C:2001:465, punti 26, 27 e 29), e del 13 luglio 2006, Manfredi e a. (da C‑295/04 a C‑298/04, EU:C:2006:461, punti 59 e 60). V. anche considerando 5 della direttiva 2014/104/UE del Parlamento europeo e del Consiglio, del 26 novembre 2014, relativa a determinate norme che regolano le azioni per il risarcimento del danno ai sensi del diritto nazionale per violazioni delle disposizioni del diritto della concorrenza degli Stati membri e dell’Unione europea (GU 2014, L 349, pag. 1).
22 In generale (a prescindere dalla questione specifica del mutamento di forma giuridica), il fatto che il legislatore abbia inserito qualcosa in un atto normativo successivo, non presente nelle sue precedenti versioni, quale significato può avere ai fini della sua interpretazione? Può darsi benissimo che tale principio sia stato, in effetti, «intrinsecamente presente» nella precedente versione ed ora sia stato semplicemente chiarito. Tuttavia, esso può anche significare che proprio perché tale disposizione non era presente in precedenza, la nuova costituisce una modifica. Considerato il frequente e discutibile (ab)uso dell’argomento «c’è sempre stata, ora è solo prevista espressamente», che si configura effettivamente come un’estensione della nuova norma a un momento assai risalente rispetto al suo ambito di applicazione temporale, questo genere di argomenti dovrebbe essere utilizzato con cautela, se non addirittura evitato.
23 Riguardo alla questione degli indirizzi IP dinamici, v. sentenza del 19 ottobre 2016, Breyer (C‑582/14, EU:C:2016:779, punti 33 e segg.). V. anche sentenza del 24 novembre 2011, Scarlet Extended(C‑70/10, EU:C:2011:771, punto 51).
24 Sentenza del 19 ottobre 2016, Breyer (C‑582/14, EU:C:2016:779, punti da 41 a 45).
25 V. supra, paragrafo 19.
27 Sentenze del 5 giugno 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, punto 29) e del 10 luglio 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punto 65).
28 V. sentenze del 13 maggio 2014, Google Spain e Google (C‑131/12, EU:C:2014:317, punto 34), e del 10 luglio 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punto 66).
29 Sentenza del 5 giugno 2018 (C‑210/16, EU:C:2018:388).
30 Sentenza del 5 giugno 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, punto 39).
31 Sentenza del 5 giugno 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, punto 35).
32 Sentenza del 5 giugno 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, punto 36).
33 Sentenza del 5 giugno 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, punti 34 e 38).
34 Sentenza del 5 giugno 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, punti 39 e 41).
35 Sentenza del 10 luglio 2018 (C‑25/17, EU:C:2018:551, punti da 68 a 72).
36 Come suggerito dall’avvocato generale Bot nelle sue conclusioni nella causa Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2017:796, paragrafi da 66 a 72).
37 In apparente analogia con la tutela dei consumatori, intendere che, in termini di negoziazione, la parte «non professionista» debba esporre concretamente le proprie ragioni nella negoziazione delle clausole, non sembra essere applicabile in questo contesto. Pertanto, si può discutere quanto spetti effettivamente all’amministratore di una fanpage di «un’azione d’impostazione dei parametri» (e quanto consista semplicemente nel cliccare meccanicamente e nell’effettuare una scelta tra opzioni predefinite, come per qualsiasi altro «consumatore»).
38 Sentenza del 5 giugno 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, punto 35).
39 Vari programmi e applicazioni oggigiorno, talvolta con il consenso espresso, talvolta, forse, con il consenso meno espresso, dell’utente, trasmettono effettivamente informazioni analitiche, che possono includere dati personali, allo sviluppatore o al venditore del software.
40 Sentenza del 5 giugno 2018 (C‑210/16, EU:C:2018:388, punto 38).
41 Ancora una volta, si potrebbe infatti discutere a quali precise condizioni e con quali poteri di negoziazione (v. anche supra, nota 37).
42 O, come affermato in termini meno diretti da Sir Humphrey Appleby (che, a sua volta, si basava apparentemente su una precedente citazione anonima): «La responsabilità senza potere – la prerogativa dell’eunuco nei secoli» (in Yes, Prime Minister, Stagione 2, Episodio 7, «The National Education Service», andato in onda per la prima volta il 21 gennaio 1988).
43 Anche nel senso evidenziato supra, al paragrafo 73 e alle note 38 e 42.
44 Sentenza del 5 giugno 2018 (C‑210/16, EU:C:2018:388, punto 43).
45 V. supra, paragrafi 87 e 88.
46 V. anche parere 4/2007 sul concetto di dati personali, 01248/07/IT WP 136, 20 giugno 2007, pag. 4, del gruppo di lavoro articolo 29 per la protezione dei dati (un organo consultivo istituito dall’articolo 29 della direttiva 95/46, ora sostituito dal comitato europeo per la protezione dei dati, istituito ai sensi dell’articolo 68 del RGPD).
47 Anche in considerazione del semplice fatto che il trattamento non sarà quasi mai lineare, passando per tutte le operazioni elencate all’articolo 2, lettera b), una per una, in sequenza, e per ogni singola persona. Al contrario, la vita dei dati personali è probabilmente ciclica, e segue un andamento circolare, con biforcazioni qua e là, con serie di dati raccolti per finalità diverse, poi consultati da una persona diversa, poi riuniti e consultati, e successivamente, forse, nuovamente ricombinati e ritrasmessi a persone diverse, e così via.
48 Il gruppo di lavoro articolo 29 per la protezione dei dati ha suggerito che «si è in presenza di una situazione di corresponsabilità quando varie parti determinano, per specifici trattamenti, o la finalità o [gli] aspetti fondamentali degli strumenti». V. parere 1/2010 sui concetti di «responsabile del trattamento» e «incaricato del trattamento», adottato il 16 febbraio 2010, gruppo di lavoro articolo 29 per la protezione dei dati, doc. 00264/10/IT WP 169, pag. 20.
49 Contrariamente alla situazione esaaminata supra ai paragrafi da 39 a 42, relativamente alla prima questione.
50 Dalla lettura della versione originale in lingua tedesca della quarta questione desumo che la portata della questione sollevata dal giudice del rinvio è limitata all’individuazione degli interessi che devono essere tenuti in considerazione e non già, come la traduzione in inglese della questione in lingua tedesca lascerebbe intendere, gli interessi che sono decisivi (nel senso potenziale di avere più rilevanza) in tale ponderazione degli interessi. La questione sembra quindi verificare l’oggetto della ponderazione, non già il suo risultato di detta ponderazione.
51 Direttiva del Parlamento europeo e del Consiglio del 12 luglio 2002 (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU 2002, L 201, pag. 37).
52 V. anche sentenza del 5 maggio 2011, Deutsche Telekom (C‑543/09, EU:C:2011:279, punto 50). Conformemente al considerando 10 della direttiva e‑privacy «[n]el settore delle comunicazioni elettroniche trova applicazione la direttiva [95/46], in particolare per quanto riguarda tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali non specificamente disciplinati dalle disposizioni della presente direttiva, compresi gli obblighi del responsabile e i diritti delle persone fisiche. La direttiva [95/46] si applica ai servizi di comunicazione non accessibili al pubblico».
53 V., nel presente contesto, articolo 5, paragrafo 3, della direttiva e‑privacy in cui si prevede che: «Gli Stati membri assicurano che l’uso di reti di comunicazione elettronica per archiviare informazioni o per avere accesso a informazioni archiviate nell’apparecchio terminale di un abbonato o di un utente sia consentito unicamente a condizione che l’abbonato o l’utente interessato sia stato informato in modo chiaro e completo, tra l’altro, sugli scopi del trattamento (...)».
54 Nel presente contesto si rinvia nuovamente alla sezione introduttiva B.1. (v. supra, paragrafi da 55 a 58) e alla necessità di una verifica fattuale su ciò che viene esattamente trasmesso e sulla questione se le informazioni costituiscano effettivamente dati personali.
55 V. anche documento 02/2013 del gruppo di lavoro articolo 29 per la protezione dei dati, che fornisce linee guida per la gestione dei cookies e l’ottenimento del relativo consenso, 1676/13/EN WP 208, 2 ottobre 2013, pagg. 5 e 6, in cui si afferma che «poiché archiviare informazioni o avere accesso a informazioni già archiviate in dispositivi degli utenti per mezzo di cookies può comportare il trattamento di dati personali, trovano chiaramente applicazione, in tal caso, le norme in materia di protezione dei dati».
56 V., in tal senso, sentenze del 13 maggio 2014, Google Spain e Google(C‑131/12, EU:C:2014:317, punto 71 e giurisprudenza ivi citata), e del 4 maggio 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punto 25).
57 Sentenza del 4 maggio 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punto 28). V. anche sentenza del 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 e C‑469/10, EU:C:2011:777, punto 38).
58 V. le mie conclusioni nella causa Rīgas satiksme (C‑13/16, EU:C:2017:43, paragrafi 64 e 65). Come ho ricordato in tali conclusioni, la trasparenza (sentenza del 9 novembre 2010, Volker und Markus Schecke e Eifert (C‑92/09 e C‑93/09, EU:C:2010:662, punto 77), la protezione dei beni, della salute e della vita familiare [sentenza dell’11 dicembre 2014, Ryneš (C‑212/13, EU:C:2014:2428, punto 34)] sono stati riconosciuti dalla Corte come interessi legittimi. V. anche sentenze del 29 gennaio 2008, Promusicae (C‑275/06, (EU:C:2008:54, punto 53), e del 4 maggio 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punto 29).
59 V. supra, paragrafi 104 e 105 delle presenti conclusioni.
60 V. anche parere 06/2014 del gruppo di lavoro articolo 29 per la protezione dei dati sul concetto di interesse legittimo del responsabile del trattamento ai sensi dell’articolo 7 della direttiva 95/46/CE (844/14/IT WP 217), pag. 29.
61 Come ho suggerito in altra sede, i rispettivi «interessi legittimi concorrenti non solo devono essere dimostrati, ma devono anche prevalere rispetto all’interesse o ai diritti e alle libertà fondamentali della persona interessata», derivanti dagli articoli 7 e 8 della Carta. V. le mie conclusioni nella causa Rīgas satiksme (C‑13/16, EU:C:2017:43, paragrafo 56 nonché paragrafi da 66 a 69 e giurisprudenza ivi citata).
62 Sentenza del 4 maggio 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punto 31 e giurisprudenza ivi citata).
63 Deve sussistere un rapporto adeguato tra gli scopi (l’interesse legittimo affermato) e gli strumenti prescelti (i dati personali trattati). V. in tal senso sentenza del 4 maggio 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punto 30 e giurisprudenza ivi citata).
64 V. supra, paragrafi da 76 a 82 delle presenti conclusioni.
65 V. supra, paragrafi da 84 a 88.
66 Il che naturalmente non impedisce ad eventuali (e successivi) responsabili del trattamento di avere tale obbligo riguardo alle rispettive operazioni di trattamento dei dati.
67 V. supra, paragrafo 132. V. documento 02/2013 del gruppo di lavoro articolo 29 per la protezione dei dati, che fornisce linee guida per la gestione dei cookies e l’ottenimento del relativo consenso, 1676/13/EN WP 208, 2 ottobre 2013, pag. 4. V. anche parere 15/2011 del gruppo di lavoro articolo 29 per la protezione dei dati sulla definizione di consenso, 1197/11/IT WP187, 13 luglio 2011, pag. 10.

References: sentenza 
 Sentenza 
 sentenza 
 sentenza 
 Sentenza 
 sentenza 
 sentenza 
 Sentenza 
 Sentenza 
 Sentenza 
 Sentenza 
 Sentenza 
 Sentenza 
 Sentenza 
 Sentenza 
 Sentenza 
 Sentenza 
 Sentenza 
 articolo 29
 articolo 29
 articolo 29
 sentenza 
 articolo 5
 articolo 29
 Sentenza 
 sentenza 
 articolo 29
 Sentenza 
 sentenza 
 articolo 29
 articolo 29