La causa C-492/23, sollevata in via pregiudiziale ai sensi dell’art. 267 TFUE dalla Corte d’appello di Cluj (Romania) traeva origine dal ricorso di una donna contro un gestore di una piattaforma, per via della pubblicazione sulla stessa di un annuncio menzognero nel quale si affermava che la ricorrente offrisse servizi sessuali. L’annuncio risultava altresì corredato da fotografie e numero di telefono, pubblicati e diffusi senza il consenso della ricorrente stessa.
Sebbene il contenuto fosse stato rimosso entro un’ora dalla segnalazione, era stato nel frattempo copiato e diffuso su altri siti.
La ricorrente agiva quindi in giudizio nei confronti della società proprietaria della piattaforma, al fine di ottenere il risarcimento del danno non patrimoniale derivante dall’illecita pubblicazione dei propri dati personali.
In primo luogo, il gestore del mercato online si difendeva invocando l’esonero di responsabilità previsto per l’hosting provider ai sensi della Direttiva 2000/31/CE e, oggi, del Regolamento (UE) 2022/2065 (Digital Services Act). In particolare, secondo tale regolamento, i prestatori di servizi di hosting non rispondono dei contenuti illeciti pubblicati dai rispettivi utenti, purché svolgano un ruolo meramente tecnico, automatico e passivo; dunque, privo di conoscenza o controllo sui contenuti memorizzati, e a condizione che, una volta acquisita effettiva conoscenza dell’illiceità della pubblicazione, provvedano senza indugio alla sua rimozione o disabilitazione dell’accesso.
La difesa della società si fondava dunque sull’assunto di aver operato quale intermediario neutrale e di aver adempiuto tempestivamente all’obbligo di rimozione, eliminando l’annuncio entro un’ora dalla segnalazione ricevuta.
Nel caso di specie, però, la Corte di Giustizia dell’Unione Europea ha ritenuto che il gestore del mercato online non si sia limitato a svolgere un ruolo tecnico e passivo, ma abbia assunto un ruolo attivo nel trattamento dei dati personali pubblicati dagli utenti, stabilendo che “quando il gestore di un mercato online fissa i parametri di diffusione degli annunci che possono contenere dati personali in funzione dei destinatari considerati, nonché determina la presentazione, la durata di tale diffusione o le rubriche che strutturano le informazioni pubblicate, o ancora organizza la classificazione che determinerà le modalità di una siffatta diffusione, esso partecipa alla determinazione dei mezzi essenziali della pubblicazione dei dati personali”.
La Corte di Giustizia dell’Unione Europea ha quindi escluso l’esonero di responsabilità previsto dal Digital Services Act, affermando, poi, l’applicabilità del Regolamento (UE) 2016/679 (GDPR).
Infatti, la stessa Corte ha ritenuto che tanto il gestore quanto l’utente inserzionista, in qualità di contitolari del trattamento di dati personali, debbano essere in grado di dimostrare che i contenuti nell’annuncio siano stati pubblicati in modo lecito, dunque previo consenso del soggetto interessato. Lo stesso gestore ha quindi l’obbligo di acquisire l’identità dell’utente inserzionista e di verificare che quest’ultimo sia la persona i cui dati sensibili figurano nell’annuncio, adottando misure tecniche e organizzative efficaci, in conformità con quanto previsto dal GDPR.
Infine, la stessa Corte ha affermato l’obbligo in capo al gestore di implementare misure di sicurezza volte a prevenire la diffusione di copie non autorizzate di annunci.