La Corte di Giustizia dell’Unione Europea (CGUE), pronunciandosi nella causa C-21/23, ha stabilito i seguenti principi di diritto:
- Le disposizioni del capo VIII del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati, che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati – GDPR), devono essere interpretate nel senso che:
- Esse non ostano a una normativa nazionale che, parallelamente ai poteri di intervento delle autorità di controllo incaricate di sorvegliare e far applicare tale regolamento, e parallelamente alle possibilità di ricorso degli interessati, conferisce ai concorrenti del presunto autore di una violazione della protezione dei dati personali la legittimazione ad agire contro quest’ultimo mediante un ricorso dinanzi ai giudici civili, per violazione del GDPR e in base al divieto delle pratiche commerciali sleali.
- L’articolo 8, paragrafo 1, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati, e l’articolo 9, paragrafo 1, del regolamento 2016/679 devono essere interpretati nel senso che:
- Nel caso in cui il gestore di una farmacia commercializzi, tramite una piattaforma online, medicinali la cui vendita è riservata alle farmacie, le informazioni che i clienti inseriscono al momento dell’ordine online, quali il loro nome, l’indirizzo di consegna e gli elementi necessari all’individualizzazione dei medicinali, costituiscono dati relativi alla salute ai sensi di tali disposizioni, anche se la vendita di tali medicinali non è soggetta a prescrizione medica.
La sentenza in esame trae origine da un conflitto tra due farmacie online tedesche. La prima, dal 2017, commercializzava medicinali riservati alle farmacie tramite la piattaforma «Amazon-Marketplace» (di seguito, “Amazon”). Durante la procedura d’ordine, i clienti erano tenuti a inserire informazioni come il loro nome, l’indirizzo di consegna e i dati necessari per identificare i medicinali.
La seconda farmacia, concorrente della prima, ha convenuto in giudizio quest’ultima, chiedendo di inibire la vendita online su Amazon fino a quando i clienti non potessero esprimere il proprio consenso al trattamento dei dati relativi alla salute. Tale richiesta si basava sull’argomentazione che la vendita su Amazon di medicinali riservati alle farmacie fosse sleale, in quanto non rispettava i requisiti di legge in materia di consenso al trattamento dei dati personali.
Il giudice di primo grado ha accolto il ricorso, sostenendo che la violazione delle norme del GDPR possa configurare concorrenza sleale. Anche il giudice d’appello ha confermato tale interpretazione, riconoscendo la sussistenza di una pratica di concorrenza sleale ai sensi della normativa tedesca, basata sulla violazione delle norme del GDPR riguardanti il consenso per il trattamento dei dati relativi alla salute. La vendita di medicinali online comporta infatti un trattamento di tali dati, vietato ai sensi dell’articolo 9, paragrafo 1, del GDPR in assenza del consenso esplicito dei clienti, come previsto dall’articolo 9, paragrafo 2, lettera a) dello stesso regolamento.
La normativa del GDPR è considerata una legge che regola il comportamento sul mercato, in base all’articolo 3a della Gesetz gegen den unlauteren Wettbewerb (legge contro la concorrenza sleale – UWG). Inoltre, l’articolo 8, paragrafo 3, punto 1, dell’UWG consente a una concorrente di proporre un’azione inibitoria dinanzi ai giudici civili per violazione di tali norme.
Nel ricorso per Cassazione, la Corte Suprema ha osservato che l’esito della controversia dipende dall’interpretazione delle disposizioni del capo VIII del GDPR, dell’articolo 9, paragrafo 1, di tale regolamento e dell’articolo 8, paragrafo 1, della direttiva 95/46. Queste disposizioni non sembrerebbero prevedere la possibilità per una concorrente di adire un tribunale civile per questioni legate al trattamento dei dati personali, generalmente riservate agli interessati e/o alle associazioni di interessati.
Il giudice del rinvio ha chiesto alla CGUE se i dati che i clienti devono inserire nella piattaforma di vendita online, quali il nome, l’indirizzo di consegna e le informazioni necessarie per identificare i medicinali ordinati, costituiscano “dati relativi alla salute” ai sensi dell’articolo 8, paragrafo 1, della direttiva 95/46 e dell’articolo 9, paragrafo 1, del GDPR.
La CGUE ha concluso che il capo VIII del GDPR non esclude la possibilità per un’azienda concorrente di lamentare una pratica di concorrenza sleale basata sulla violazione del GDPR, considerandola un valido strumento per proteggere anche gli interessati i cui dati vengono trattati illecitamente. Inoltre, ha confermato un’interpretazione ampia del concetto di “dati relativi alla salute”, stabilendo che anche i dati relativi all’acquisto di medicinali online costituiscono un trattamento di tali dati, che può essere effettuato solo previo consenso.