Source: https://www.personaedanno.it/articolo/responsabilit-trattamento-dati-personali-degli-amministratori-di-un-motore-di-ricerca-c-di-g-sent-05-giugno-2018-causa-c-210-16-g-g
Timestamp: 2020-08-11 19:08:50+00:00
Document Index: 129159299

Matched Legal Cases: ['art. 82', 'art. 24', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ']

Responsabilità trattamento dati personali degli amministratori di un motore di ricerca - C. di G. sent. 05 giugno 2018, causa C-210/16 - G.G.
Persona, diritti personalità - Riservatezza, privacy - Redazione P&D - 04/04/2020
La questione citata è relativa alla direttiva 95/46/CE previgente rispetto al regolamento Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016.
Nel caso specifico il giudice europeo ha ritenuto che un amministratore di una pagina del motore di ricerca può essere assimilato al responsabile del trattamento ed inoltre, si è pronunciato sulla legittimazione delle Autorità di controllo degli Stati membri ad esercitare i poteri d’intervento in caso di violazione delle disposizioni relative alla protezione dei dati poste in essere da un terzo responsabile del trattamento, il quale ha la propria sede in uno Stato membro diverso da quello dell’autorità procedente.
Viene così rilevata la responsabilità da parte dell’impresa che gestiva il servizio di motore di ricerca quale responsabile del trattamento dei dati personali degli utenti del social network in concomitanza alla responsabilità di una ditta collegata e gerente di una fanpage collegata e corresponsabile del trattamento dei dati personali, al predetto motore di ricerca, valutando, secondo la CGEU il grado di responsabilità degli operatori che deve essere valutato tenendo in debita considerazione tutte le rilevanti circostanze del caso concreto.
Nell’evoluzione della normativa europea ricordiamo che il Regolamento (UE) 2016/679 stabilisce all’art. 82 che chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento.
Il titolare del trattamento o il responsabile del trattamento è esonerato dalla responsabilità, se dimostra che l'evento dannoso non gli è in alcun modo imputabile.
Qualora più titolari del trattamento o responsabili del trattamento oppure entrambi il titolare del trattamento e il responsabile del trattamento siano coinvolti nello stesso trattamento e siano, ai sensi dei paragrafi 2 e 3, responsabili dell'eventuale danno causato dal trattamento, ogni titolare del trattamento o responsabile del trattamento è responsabile in solido per l'intero ammontare del danno, al fine di garantire il risarcimento effettivo dell'interessato.
In particolare viene stabilità per il titolare la prova liberatoria secondo cui il titolare o anche il responsabile del trattamento è esonerato dalla responsabilità «se dimostra che l’evento dannoso non gli è in alcun modo imputabile». In tal senso infatti l’art. 24 del regolamento europeo su citato ed il suo Considerando 74 prevedono che il titolare ponga in atto, previa valutazione della natura, dell’ambito, del contesto e delle finalità del trattamento nonché dei rischi per gli interessati, le misure tecniche e organizzative adeguate prescrivendo inoltre al titolare di essere in grado di dimostrare l’efficacia di dette misure.
Spetterà quindi, con inversione dell’ordine della prova al titolare ed al responsabile del trattamento, cui spetta l’onere di organizzare le attività di trattamento dei dati, provare non di avere predisposto tutte le misure idonee a prevenire il danno, e che il danno si è verificato per un fatto che non poteva essere previsto, come avviene nel caso fortuito o nella causa forza maggiore, salva la prova del nesso eziologico tra il danno ed il trattamento da parte di chi ha subito il danno.
«Rinvio pregiudiziale – Direttiva 95/46/CE – Dati personali – Tutela delle persone fisiche riguardo al trattamento di tali dati – Provvedimento diretto a disattivare una pagina xxxxxxxxxxx (fanpage) che consente di raccogliere ed elaborare determinati dati collegati ai visitatori di tale pagina – Articolo 2, lettera d) – Responsabile del trattamento di dati personali – Articolo 4 – Diritto nazionale applicabile – Articolo 28 – Autorità nazionali di controllo – Poteri d’intervento di tali autorità»
Nella causa C210/16,
– per xxxxxxxxxxxxxxxxxxxxxxxxx, da xxxxxxxxxxxxxxxxx e xxxxxxxxxxxxxxxxxxx;
– per la xxxxxxxxxxxxxxxxxxxxx, da xxxxxxxxxxxxxxxxxx;
– per la xxxxxxxxxxxxxxxxx, da xxxxxxxxxxxxxxxxxxxxx, avvocato;
– per il governo xxxxxxxxxxxxxxxxx, in qualità di agente;
– per il governo xxxxxxxxxxxxxxxxxxxxxxxxxxx, in qualità di agenti;
– per il governo xxxxxxxxxxxxxxxxxxxxx, in qualità di agenti;
– per xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, in qualità di agenti;
– per il governo xxxxxxxxxxxxxxxxxxxxxxxxxx, in qualità di agente, assistita da xxxxxxxxxxxxxx, avvocato dello Stato;
– per il governo xxxxxxxxxxxxxxxxxxxxxxxx, in qualità di agente;
– per la Commissione europea, da xxxxxxxxxxxxxxxxxxxxxxxxx, in qualità di agenti,
2 Tale domanda è stata presentata nell’ambito di una controversia tra, da un lato, xxxxxxxxxxxxxxxxxxxxxxxxxn (autorità di vigilanza regionale indipendente per la protezione dei dati dello Schleswig-Holstein) (in prosieguo: l’«ULD») e, dall’altro, la xxxxxxxxxxxxxxxxxxxxxx, società di diritto privato specializzata nel settore della formazione (in prosieguo: la «xxxxxxxxxxxxxxxx»), in merito alla legittimità di un provvedimento emesso dall’ULD con cui si intima alla xxxxxxxxxxxxxxxxxx di disattivare una fanpage presente sul sito del social network xxxxxxxxxxxxxxx (in prosieguo: «xxxxxxxxxxxxxxxxx»).
14 La xxxxxxxxxxxxxxx offre servizi di formazione attraverso una fanpage presente su xxxxxxxxxxxx.
15 Le fanpage sono account utenti che possono essere attivate su xxxxxxxxxx da singole persone o imprese. Per farlo, l’autore della fanpage, dopo essersi registrato su xxxxxxxxxxxx, può utilizzare la piattaforma da quest’ultimo amministrata per presentarsi agli utenti di detto social network nonché alle persone che visitano la fanpage e diffondere comunicazioni di ogni tipo sul mercato dei media e del pubblico. Gli amministratori delle fanpage possono ottenere dati statistici anonimi riguardanti i visitatori di tali pagine servendosi di una funzione denominata xxxxxxxxxxxx, messa a loro disposizione gratuitamente da xxxxxxxxx secondo condizioni d’uso non modificabili. Tali dati sono raccolti grazie a marcatori (in prosieguo: i «cookie») contenenti ciascuno un codice utente unico, attivi per due anni e salvati da xxxxxxxxxxx sul disco fisso del computer o su qualsiasi altro supporto dei visitatori della fanpage. Il codice utente, che può essere associato ai dati di collegamento degli utenti registrati su xxxxxxxxxxxxx, è raccolto ed elaborato al momento dell’accesso alle fanpage. A tal riguardo, dalla decisione di rinvio emerge che né la xxxxxxxxxxx né la xxxxxxxxxxxx hanno menzionato l’operazione di conservazione e il funzionamento di tale cookie o il trattamento successivo dei dati, quanto meno durante il periodo rilevante per il procedimento principale.
16 Con decisione del 3 novembre 2011 (in prosieguo: la «decisione impugnata») l’ULD, in qualità di autorità di controllo, ai sensi dell’articolo 28 della direttiva 95/46, incaricata di sorvegliare l’applicazione nel territorio del Land Schleswig-Holstein (Germania) delle disposizioni adottate dalla Repubblica federale di Germania in attuazione di tale direttiva, ordinava alla xxxxxxxxxxxxxx, conformemente all’articolo 38, paragrafo 5, primo periodo, del BDSG, la disattivazione della fanpage da essa creata su xxxxxxxxxxx all’indirizzo www.xxxxxxxxxxxxxxxxxx, prevedendo una penalità in caso di mancato adempimento entro il termine prescritto, per il fatto che né la xxxxxxxxxxxx né xxxxxxxxxx informavano i visitatori della fanpage del fatto che quest’ultimo raccoglieva, mediante cookie, informazioni personali che li riguardavano e che essi elaboravano successivamente tali informazioni. Avverso tale decisione, la xxxxxxxxxxxxxx presentava reclamo negando, essenzialmente, di essere responsabile, alla luce della normativa applicabile in materia di protezione dei dati, del trattamento dei dati realizzato da xxxxxxxxxxxxx e dei cookie da quest’ultimo installati.
17 Con decisione del 16 dicembre 2011 l’ULD respingeva tale reclamo, affermando che la responsabilità della xxxxxxxxxxxxxx, quale fornitore di servizi, scaturiva dagli articoli 3, paragrafo 3, punto 4, e 12, paragrafo 1, del TMG, in combinato disposto con l’articolo 3, paragrafo 7, del BDSG. L’ULD precisava che, avendo creato la propria fanpage, la xxxxxxxxxxxxxxxxxxxxx forniva un contributo attivo e volontario alla raccolta, da parte di xxxxxxxxxxxxxxxx, di dati personali riguardanti i visitatori di tale fanpage, dati di cui essa beneficiava mediante statistiche messe a disposizione da quest’ultimo.
18 Avverso tale decisione, la xxxxxxxxxxxxxxx proponeva ricorso dinanzi al xxxxxxxxxxxxxxx (Tribunale amministrativo, Germania), affermando che il trattamento dei dati personali realizzato da xxxxxxxxxxx non poteva esserle imputato e negando inoltre di aver incaricato xxxxxxxxxxxxx di effettuare, ai sensi dell’articolo 11 del BDSG, un trattamento dei dati soggetto al suo controllo o rientrante nella sua sfera di influenza. La xxxxxxxxxxxx ne deduceva che l’ULD avrebbe dovuto agire direttamente contro xxxxxxxxxxxxxxxxxx invece di adottare contro di essa la decisione impugnata.
19 Con sentenza del 9 ottobre 2013 il xxxxxxxxxxxxxxxxx (Tribunale amministrativo) annullava la decisione impugnata sulla base del rilievo che, sostanzialmente, poiché l’amministratore di una fanpage su xxxxxxxxxxxx non costituisce un organismo responsabile ai sensi dell’articolo 3, paragrafo 7, del BDSG, la xxxxxxxxxxxxxx non poteva essere destinataria di una misura adottata a norma dell’articolo 38, paragrafo 5, del BDSG.
20 L’Oberverwaltungsgericht (Tribunale amministrativo superiore del Land, Germania) respingeva in quanto infondato l’appello presentato dall’ULD avverso tale sentenza. Tale giudice riteneva essenzialmente che il divieto di trattamento dei dati sancito nella decisione impugnata fosse illegittimo nella misura in cui l’articolo 38, paragrafo 5, secondo periodo, del BDSG prevede un processo graduale la cui prima fase permette unicamente di adottare misure volte a sanare violazioni accertate in sede di trattamento dei dati. Un divieto immediato di trattamento di dati sarebbe ipotizzabile solamente ove un processo di trattamento di dati sia illecito nella sua globalità e a condizione che solo la sospensione di detto processo permetta di porvi rimedio. Orbene, a giudizio dell’Oberverwaltungsgericht (Tribunale amministrativo superiore del Land), ciò non si sarebbe verificato nel caso di specie poiché xxxxxxxxxxxxxx avrebbe potuto far cessare le violazioni dedotte dall’ULD.
21 L’Oberverwaltungsgericht (Tribunale amministrativo superiore del Land) aggiungeva che la decisione impugnata era illegittima anche per il fatto che un provvedimento a norma dell’articolo 38, paragrafo 5, del BDSG può essere pronunciato solo nei confronti dell’organismo responsabile, ai sensi dell’articolo 3, paragrafo 7, del BDSG, e, per quanto riguarda i dati raccolti da xxxxxxxxxxxxxx, tale organismo non sarebbe la xxxxxxxxxxxxxx. Infatti, solo xxxxxxxxxxxxxxxx deciderebbe della finalità e degli strumenti relativi alla raccolta e al trattamento dei dati personali utilizzati nell’ambito della funzione xxxxxxxxxxxxxxxxxxx, mentre la xxxxxxxxxxxx, dal canto suo, riceverebbe solo informazioni statistiche rese anonime.
22 L’ULD proponeva ricorso per cassazione (Revision) dinanzi al Bundesverwaltungsgericht (Corte amministrativa federale, Germania), deducendo, fra i vari argomenti, la violazione dell’articolo 38, paragrafo 5, del BDSG nonché diversi errori procedurali inficianti la decisione del giudice d’appello. Essa ritiene che la violazione commessa dalla xxxxxxxxxxxxxx consista nel fatto che quest’ultima ha affidato la realizzazione, l’hosting e la manutenzione di un sito Internet a un fornitore inadatto in quanto irrispettoso della normativa applicabile in materia di protezione dei dati, nello specifico la xxxxxxxxxxxxxxxxxx. Il provvedimento, che intima alla xxxxxxxxxxxxx, mediante la decisione impugnata, di effettuare la disattivazione della sua fanpage sarebbe diretto a porre rimedio a tale violazione, poiché gli vieterebbe di continuare a utilizzare l’infrastruttura di xxxxxxxxxxxxx come base tecnica del suo sito Internet.
23 Analogamente all’Oberverwaltungsgericht (Tribunale amministrativo superiore del Land), il Bundesverwaltungsgericht (Corte amministrativa federale, Germania) è del parere che la xxxxxxxxxxxx non possa essere considerata essa stessa responsabile del trattamento di dati, ai sensi dell’articolo 3, paragrafo 7, del BDSG o dell’articolo 2, lettera d), della direttiva 95/46. Tale ultimo giudice ritiene, tuttavia, che, in linea di principio, tale nozione debba essere interpretata in modo estensivo nell’interesse di una tutela efficace del diritto alla vita privata, come la Corte avrebbe dichiarato nella sua recente giurisprudenza in materia. Esso nutre, inoltre, dubbi in merito ai poteri di cui dispone nella fattispecie l’ULD nei confronti della xxxxxxxxxxxxxx Germany, tenuto conto del fatto che il responsabile della raccolta e del trattamento dei dati personali all’interno del gruppo xxxxxxxxxxx è, a livello dell’Unione, la xxxxxxxxxxxxxxx Ireland. Infine, esso si interroga sull’impatto, ai fini dell’esercizio dei poteri d’intervento dell’ULD, delle valutazioni effettuate dall’autorità di controllo in cui rientra la xxxxxxxxxxxxxxx Ireland, in merito alla liceità del trattamento dei dati personali in oggetto.
5) Se gli articoli 4, paragrafo 1, lettera a), e 28, paragrafi 3 e 6, della direttiva [95/46] debbano essere interpretati nel senso che quando le autorità di controllo di uno Stato membro (nella fattispecie, della Germania) agiscono nei confronti di un soggetto o di un organismo attivo sul loro territorio ai sensi dell’articolo 28, paragrafo 3, [di tale direttiva] in ragione della scelta non diligente di un terzo coinvolto nel processo di trattamento dei dati (nella fattispecie, xxxxxxxxxxxxxx), poiché detto terzo violerebbe la normativa sulla protezione dei dati, l’autorità di controllo che interviene (nella fattispecie, la Germania) è vincolata alla valutazione compiuta, sotto il profilo della normativa sulla protezione dei dati, dall’autorità di controllo dell’altro Stato membro in cui il terzo responsabile del trattamento dei dati ha la sua filiale (nella fattispecie, in Irlanda), nel senso che essa non può compiere alcuna valutazione giuridica discordante, o se l’autorità di controllo che interviene (nella fattispecie, la Germania) possa valutare in modo autonomo preliminarmente alla propria azione la legittimità del trattamento dei dati compiuto da un terzo stabilito in un altro Stato membro (nella fattispecie, l’Irlanda).
26 Per rispondere a tali questioni, occorre ricordare che, come risulta dal suo articolo 1, paragrafo 1, e dal suo considerando 10, la direttiva 95/46 è volta a garantire un elevato grado di tutela delle libertà e dei diritti fondamentali delle persone fisiche, in particolare della loro vita privata, riguardo al trattamento dei dati personali (sentenza dell’11 dicembre 2014, Ryneš, C212/13, EU:C:2014:2428, punto 27 e giurisprudenza ivi citata).
28 Infatti, come è già stato giudicato dalla Corte, la finalità di tale disposizione è di garantire, mediante un’ampia definizione della nozione di «responsabile», una tutela efficace e completa degli interessati (sentenza del 13 maggio 2014, xxxxxxxxxxxx, C131/12, EU:C:2014:317, punto 34).
30 Nel caso di specie, la xxxxxxxxxxx. e, per quanto riguarda l’Unione, la xxxxxxxxxx Ireland devono essere considerate coloro che determinano, in via principale, le finalità e gli strumenti del trattamento dei dati personali degli utenti di xxxxxxxxxx nonché delle persone che hanno visitato la fanpage presente su xxxxxxxxxxxx e rientrano pertanto nella nozione di «responsabile del trattamento», ai sensi dell’articolo 2, lettera d), della direttiva 95/46, fatto di cui non si dubita nella presente causa.
31 Ciò premesso, e al fine di rispondere alle questioni sollevate, si deve esaminare se e in che misura l’amministratore di una fanpage presente su xxxxxxxxxxxxx, come la xxxxxxxxxxxx, contribuisca, nell’ambito di tale fanpage, a determinare, assieme con la xxxxxxxxxxxxxxxxxxxx e la xxxxxxxxxxxx, le finalità e gli strumenti del trattamento dei dati personali dei visitatori della suddetta fanpage e possa, quindi, anch’essa essere considerata quale «responsabile del trattamento», ai sensi dell’articolo 2, lettera d), della direttiva 95/46.
32 A tal riguardo, risulta che qualsiasi persona che desideri creare una fanpage su xxxxxxxxxxxxxxx stipula con la xxxxxxxxxxxxxxx un contratto specifico relativo all’apertura di una siffatta pagina e aderisce, a tale titolo, alle condizioni di utilizzo di tale pagina, inclusa la politica ad essa relativa in materia di cookie, cosa che spetta al giudice nazionale verificare.
33 Come emerge dal fascicolo presentato alla Corte, i trattamenti di dati di cui al procedimento principale sono effettuati essenzialmente attraverso il posizionamento, da parte di xxxxxxxxxxxxxxx, sul computer o su ogni altro dispositivo delle persone che hanno visitato la fanpage, di cookie usati per memorizzare informazioni nei browser web e che, se non eliminati, restano attivi per due anni. Da esso emerge altresì che, in pratica, xxxxxxxxx riceve, registra ed elabora le informazioni memorizzate nei cookie in particolare quando una persona visita «servizi xxxxxxxxx, servizi forniti da altri membri delle Aziende di xxxxxxxxxxx e servizi forniti da altre aziende che usano i servizi xxxxxxxxxxxxxx». Inoltre, altri soggetti, quali i partner di xxxxxxxxxxx o anche terzi «possono usare i cookie sui servizi di xxxxxxxxxxxxxx per [fornire servizi direttamente a tale social network] e alle aziende che fanno pubblicità su xxxxxxxxxxxx».
34 Tali trattamenti di dati personali mirano segnatamente, da un lato, a consentire a xxxxxxxxxxx di migliorare il proprio sistema di pubblicità che esso diffonde attraverso il suo network e, dall’altro, a consentire all’amministratore della fanpage di ottenere statistiche stabilite da xxxxxxxxxxxxx a partire dalle visite di tale pagina, a fini di gestione della promozione della propria attività, consentendogli di conoscere, ad esempio, il profilo dei visitatori che apprezzano la sua fanpage o che utilizzano le sue applicazioni, affinché esso possa proporre loro un contenuto più pertinente e sviluppare funzionalità che possano interessarli in maggior misura.
35 Orbene, il mero fatto di utilizzare un social network quale xxxxxxxxxx non rende un utilizzatore di xxxxxxxxxxx corresponsabile di un trattamento di dati personali effettuato da tale network; occorre, invece, rilevare che l’amministratore di una fanpage presente su xxxxxxxxxxxxx, mediante la creazione di una siffatta pagina, offre a xxxxxxxxxxxxxx la possibilità di posizionare cookie sul computer o su qualsiasi altro dispositivo della persona che ha visitato la sua fanpage, indipendentemente dal fatto che tale persona possieda o meno un profilo xxxxxxxxxxx.
36 In tale contesto, dalle indicazioni presentate alla Corte emerge che la creazione di una fanpage su xxxxxxxxxxx implica da parte del suo amministratore un’azione d’impostazione dei parametri in base, segnatamente, al suo pubblico destinatario nonché agli obiettivi di gestione o di promozione delle sue attività, che influisce sul trattamento di dati personali ai fini della creazione di statistiche stabilite a partire dalle visite della fanpage. Tale amministratore può, tramite filtri messi a disposizione da xxxxxxxxxxxxxxxxxxxxxxxx, definire i criteri a partire dai quali si devono stabilire tali statistiche e designare perfino le categorie di persone i cui dati personali saranno oggetto di utilizzo da parte di xxxxxxxxxxxxxxxx. Di conseguenza, l’amministratore di una fanpage presente su xxxxxxxxxxxxxxx contribuisce al trattamento dei dati personali dei visitatori della sua pagina.
38 Se è vero che le statistiche sull’utenza stabilite da xxxxxxxxxxxxxxxxx sono unicamente trasmesse all’amministratore della fanpage in forma anonima, ciò non toglie che la realizzazione di tali statistiche si fonda sulla raccolta preliminare, mediante cookie installati da xxxxxxxxxxxxxxxx sul computer o su ogni altro dispositivo delle persone che hanno visitato tale pagina, e sul trattamento dei dati personali di tali visitatori a siffatti fini statistici. In ogni caso, la direttiva 95/46 non impone che, qualora vi sia una responsabilità congiunta di più operatori per un medesimo trattamento, ciascuno abbia accesso ai dati personali interessati.
39 In tale contesto, si deve ritenere che l’amministratore di una fanpage presente su xxxxxxxxxxxxxx, quale la xxxxxxxxxxxxxxxxxxxx, partecipa, attraverso la propria azione d’impostazione dei parametri, in funzione, segnatamente, del suo pubblico destinatario nonché di obiettivi di gestione o promozione delle sue attività, alla determinazione delle finalità e degli strumenti del trattamento dei dati personali dei visitatori della sua fanpage. Pertanto, tale amministratore deve essere, nella fattispecie, qualificato come responsabile di tale trattamento, all’interno dell’Unione, assieme alla xxxxxxxxxxxxxxxx, ai sensi dell’articolo 2, lettera d), della direttiva 95/46.
40 Infatti, la circostanza che un amministratore di una fanpage utilizzi la piattaforma realizzata da xxxxxxxxxxxxxxx per beneficiare dei servizi a essa collegati non può esonerarlo dal rispetto degli obblighi ad esso incombenti in materia di protezione dei dati personali.
41 Inoltre, è importante sottolineare che le fanpage presenti su xxxxxxxxxxxxxxxx possono essere visitate anche da persone che non sono utilizzatori di xxxxxxxxxxxxxxx e che quindi non dispongono di un account utente su tale social network. In tal caso, la responsabilità dell’amministratore della fanpage relativamente al trattamento dei dati personali di tali persone appare ancor più importante, poiché la mera consultazione della fanpage da parte di visitatori fa scattare automaticamente il trattamento dei loro dati personali.
46 L’ULD e il governo italiano esprimono dubbi in merito alla ricevibilità di tali questioni in quanto esse sarebbero irrilevanti per la soluzione della controversia di cui al procedimento principale. Infatti, la decisione impugnata avrebbe come destinataria la xxxxxxxxxxxxxxxxxxx e non riguarderebbe quindi né la xxxxxxxxxxxxxxxxx. né nessun’altra filiale stabilita nel territorio dell’Unione.
47 A questo proposito, occorre rammentare che, nell’ambito della cooperazione tra la Corte e i giudici nazionali istituita dall’articolo 267 TFUE, spetta esclusivamente al giudice nazionale, cui è stata sottoposta la controversia e che deve assumersi la responsabilità dell’emananda decisione giurisdizionale, valutare, alla luce delle particolari circostanze di ciascuna causa, sia la necessità di una pronuncia pregiudiziale per essere in grado di emettere la propria sentenza, sia la rilevanza delle questioni che esso sottopone alla Corte. Di conseguenza, se le questioni sollevate dal giudice nazionale riguardano l’interpretazione del diritto dell’Unione, la Corte, in via di principio, è tenuta a statuire (sentenza del 6 settembre 2016, Petruhhin, C182/15, EU:C:2016:630, punto 19 e giurisprudenza ivi citata).
48 Nel caso di specie, occorre evidenziare che il giudice del rinvio afferma che una risposta della Corte alla terza e alla quarta questione pregiudiziale è necessaria perché lo stesso possa pronunciarsi sulla controversia di cui al procedimento principale. Esso spiega infatti che, nel caso in cui si constatasse, alla luce di tale risposta, che l’ULD avrebbe potuto porre rimedio alle asserite violazioni del diritto alla protezione dei dati personali agendo nei confronti della xxxxxxxxxxxxxxxxxxx, una siffatta circostanza potrebbe dimostrare l’esistenza di un errore di valutazione che inficia la decisione impugnata, nella parte in cui essa sarebbe stata adottata erroneamente nei confronti della xxxxxxxxxxxxxxxxx.
50 Per rispondere a tali questioni, occorre rammentare in via preliminare che, ai sensi dell’articolo 28, paragrafi 1 e 3, della direttiva 95/46, ciascuna autorità di controllo esercita tutti i poteri che le sono stati conferiti dal diritto nazionale nel territorio dello Stato membro cui appartiene, per assicurare in tale territorio il rispetto delle norme in materia di protezione dei dati (v., in tal senso, sentenza del 1º ottobre 2015, Weltimmo, C230/14, EU:C:2015:639, punto 51).
54 Per quanto attiene, in primo luogo, alla condizione secondo cui il responsabile del trattamento di dati personali deve disporre di uno stabilimento nel territorio dello Stato membro dell’autorità di controllo interessata, occorre rammentare che, secondo il considerando 19 della direttiva 95/46, lo stabilimento nel territorio di uno Stato membro implica l’esercizio effettivo e reale di un’attività mediante un’organizzazione stabile e che la forma giuridica di siffatto stabilimento, si tratti di una semplice succursale o di una filiale dotata di personalità giuridica, non è il fattore determinante (sentenza del 1º ottobre 2015, Weltimmo, C230/14, EU:C:2015:639, punto 28 e giurisprudenza ivi citata).
55 Nel caso di specie, è pacifico che la xxxxxxxxxxxxxx, in quanto responsabile del trattamento di dati personali, assieme alla xxxxxxxxxxxxxxx, dispone di una filiale stabile in Germania, ossia la xxxxxxxxxxxxxxxx, situata ad xxxxxxxxx, e che quest’ultima società esercita realmente ed effettivamente alcune attività in detto Stato membro. Di conseguenza, essa costituisce uno stabilimento, ai sensi dell’articolo 4, paragrafo 1, lettera a), della direttiva 95/46.
56 Per quanto riguarda, in secondo luogo, la condizione in base alla quale il trattamento di dati personali deve essere effettuato «nel contesto delle attività» dello stabilimento interessato, si deve rammentare, innanzitutto, che, tenuto conto dell’obiettivo perseguito dalla direttiva 95/46, consistente nel garantire una tutela efficace e completa delle libertà e dei diritti fondamentali delle persone fisiche, segnatamente del diritto alla vita privata, riguardo al trattamento dei dati personali, l’espressione «nel contesto delle attività di uno stabilimento» non può essere interpretata restrittivamente (sentenza del 1º ottobre 2015, Weltimmo, C230/14, EU:C:2015:639, punto 25 e giurisprudenza ivi citata).
57 Occorre poi sottolineare che l’articolo 4, paragrafo 1, lettera a), della direttiva 95/46 non esige che un siffatto trattamento sia effettuato «dallo» stesso stabilimento interessato, bensì soltanto che venga effettuato «nel contesto delle attività» di quest’ultimo (sentenza del 13 maggio 2014, Google Spain e Google, C131/12, EU:C:2014:317, punto 52).
58 Nel caso di specie, dalla decisione di rinvio e dalle osservazioni scritte depositate dalla xxxxxxxxxxxxxxx emerge che la xxxxxxxxxxxxxxxxxxxx è incaricata della promozione e della vendita di spazi pubblicitari e svolge attività destinate ai residenti in Germania.
59 Come è stato rammentato ai punti 33 e 34 della presente sentenza, il trattamento di dati personali di cui al procedimento principale, effettuato dalla xxxxxxxxxxxxxxxxxxx congiuntamente alla xxxxxxxxxxxxxxxxxxxx e consistente nella raccolta di siffatti dati mediante cookie installati sui computer o su ogni altro dispositivo dei visitatori delle fanpage presenti su xxxxxxxxxxxxxxxx, ha come obiettivo segnatamente di consentire a tale social network di migliorare il proprio sistema pubblicitario al fine di individuare meglio le comunicazioni che esso diffonde.
60 Orbene, come rilevato dall’avvocato generale al paragrafo 94 delle sue conclusioni, dato che, da un lato, un social network, come xxxxxxxxxxxxxxxxxxx, trae una parte considerevole delle sue entrate segnatamente dalla pubblicità diffusa sulle pagine web che gli utenti creano e a cui essi accedono e, dall’altro, che la filiale di Facebook ubicata in Germania è destinata a garantire, in tale Stato membro, la promozione e la vendita di spazi pubblicitari che servono a rendere redditizi i servizi offerti da xxxxxxxxxxxxxxxxxxxxxxxxxxxx, le attività di tale filiale devono essere ritenute inscindibilmente connesse al trattamento di dati personali del procedimento principale, di cui la xxxxxxxxxxxxxxxxxxxx è il responsabile assieme alla xxxxxxxxxxxxxxxxxxxx. Di conseguenza, un siffatto trattamento deve essere considerato come effettuato nel contesto delle attività di uno stabilimento del responsabile del trattamento, ai sensi dell’articolo 4, paragrafo 1, lettera a), della direttiva 95/46 (v., in tal senso, sentenza del 13 maggio 2014, Google Spain e Google, C131/12, EU:C:2014:317, punti 55 e 56).
62 Di conseguenza, tale autorità di controllo era competente a garantire, nel territorio tedesco, il rispetto delle disposizioni in materia di protezione dei dati personali per esercitare, nei confronti della xxxxxxxxxxxxxxxxxxxx, tutti i poteri di cui essa dispone in forza delle disposizioni nazionali di attuazione dell’articolo 28, paragrafo 3, della direttiva 95/46.
63 Occorre precisare altresì che la circostanza, evidenziata dal giudice del rinvio nella sua terza questione, secondo cui le strategie decisionali in merito alla raccolta e al trattamento di dati personali relativi a persone residenti nel territorio dell’Unione sono adottate da una società controllante stabilita in uno Stato terzo, come, nella fattispecie, la xxxxxxxxxxxxxx, non è tale da mettere in discussione la competenza dell’autorità di controllo sottoposta al diritto di uno Stato membro con riferimento a uno stabilimento, ubicato nel territorio di tale medesimo Stato, del responsabile del trattamento dei suddetti dati.
66 Al fine di rispondere a tali questioni, si deve rammentare, come emerge dalla risposta fornita alla prima e alla seconda questione pregiudiziale, che l’articolo 2, lettera d), della direttiva 95/46 deve essere interpretato nel senso che esso consente, in circostanze come quelle di cui al procedimento principale, di riconoscere la responsabilità di un organismo, quale la xxxxxxxxxxxxxxx, in qualità di amministratore di una fanpage presente su xxxxxxxxxxxxxx, in caso di violazione delle disposizioni relative alla tutela dei dati personali.
68 Come previsto dall’articolo 28, paragrafo 1, secondo comma, di tale direttiva, le autorità di controllo incaricate di sorvegliare l’applicazione, nel territorio degli Stati membri cui appartengono, delle disposizioni adottate da questi ultimi in attuazione della medesima direttiva, sono pienamente indipendenti nell’esercizio delle funzioni loro attribuite. Tale prescrizione risulta altresì dal diritto primario dell’Unione, segnatamente dall’articolo 8, paragrafo 3, della Carta dei diritti fondamentali dell’Unione europea e dall’articolo 16, paragrafo 2, TFUE (v., in tal senso, sentenza del 6 ottobre 2015, Schrems, C362/14, EU:C:2015:650, punto 40).
71 A tal riguardo, va ricordato che, poiché le autorità nazionali di controllo sono incaricate, ai sensi dell’articolo 8, paragrafo 3, della Carta dei diritti fondamentali e dell’articolo 28 della direttiva 95/46, di sorvegliare il rispetto delle norme dell’Unione relative alla tutela delle persone fisiche riguardo al trattamento dei dati personali, a ognuna di esse è quindi attribuita la competenza a verificare se un trattamento di dati personali nel territorio dello Stato membro cui appartiene rispetti gli obblighi fissati dalla direttiva 95/46 (v., in tal senso, sentenza del 6 ottobre 2015, Schrems, C362/14, EU:C:2015:650, punto 47).
72 Poiché l’articolo 28 della direttiva 95/46 si applica, per sua stessa natura, a ogni trattamento di dati personali, anche in presenza di una decisione di un’autorità di controllo di un altro Stato membro, un’autorità di controllo, investita da parte di un soggetto di una domanda relativa alla tutela dei propri diritti e libertà relativamente al trattamento di dati personali che la riguardano, deve valutare in piena indipendenza se il trattamento di tali dati rispetti gli obblighi stabiliti dalla presente direttiva (v., in tal senso, sentenza del 6 ottobre 2015, Schrems, C362/14, EU:C:2015:650, punto 57).