Protezione dati, Corte Ue: mercato online è responsabile dei dati personali negli annunci

Il gestore di un marketplace online deve assumersi la responsabilità dei dati personali contenuti negli annunci pubblicati sulla sua piattaforma. Prima della pubblicazione, deve individuare gli annunci che contengono dati sensibili e verificare che l’inserzionista sia la persona corrispondente a quei dati o che abbia il consenso esplicito alla loro pubblicazione. Altrimenti deve rifiutare la pubblicazione dell’annuncio.

La Corte di giustizia dell’Unione europea si è pronunciata su un caso che riguarda la protezione dei dati online a fronte della pubblicazione di dati sensibili, l’applicazione del Regolamento europeo sulla protezione dati (RGPD) e sulla responsabilità dei mercati online.

Il caso dell’annuncio con dati sensibili

Il caso riguarda la Russmedia Digital, una società di diritto rumeno, che è proprietaria del sito Internet www.publi24.ro. Si tratta di un mercato online nel quale si possono pubblicare annunci gratuiti o a pagamento per vendita di beni o fornitura di servizi in Romania. Nel 2018 uno sconosciuto ha pubblicato sul sito un annuncio in cui si diceva che una donna offriva servizi sessuali, con foto usata senza il consenso della donna e il numero di telefono. La donna ha chiesto al sito di rimuovere l’annuncio dannoso, e in effetti nel giro di un’ora la Russmedia Digital ha rimosso la pubblicazione, che però era già stata diffusa su altri siti Internet, sui quali è rimasta accessibile.

La donna è ricorsa alla giustizia rumena contestando che l’annuncio violasse i suoi diritti all’immagine, all’onore, alla reputazione, alla vita privata nonché le norme relative al trattamento dei dati personali. Prima ha avuto ragione dal tribunale di primo grado, che ha condannato la Russmedia Digital a versarle 7.000 euro a titolo di danni morali, mentre in appello il tribunale specializzato ha considerato la società esonerata da responsabilità, qualificandola come semplice prestatore di servizi di hosting non responsabile dei contenuti pubblicati dai suoi utenti.

Il mercato è responsabile del trattamento dati

Il caso è arrivato alla Corte di giustizia, chiamata a esprimersi sull’interpretazione del diritto dell’Ue, sul Regolamento sulla protezione dati e sugli obblighi di un mercato online.

Oggi nella sua sentenza la Corte ha stabilito che “il gestore di un mercato online come la Russmedia Digital è titolare, ai sensi del RGPD, del trattamento dei dati personali contenuti negli annunci pubblicati nel proprio mercato online. Infatti, anche se l’annuncio è inserito da un utente, tale annuncio viene pubblicato su Internet e quindi reso accessibile agli utenti di Internet solo grazie al mercato online”.

Il gestore di un mercato online, prima di pubblicare l’annuncio, attraverso adeguate misure tecniche e organizzative, deve individuare gli annunci che contengono dati sensibili e verificare se l’utente sia proprio la persona cui si riferiscono quei dati. Se non è lei, deve verificare se ha il consenso esplicito alla pubblicazione da parte della persona cui si riferiscono i dati.

“In assenza di questo consenso, il gestore di un mercato online – spiega la Corte – deve rifiutare la pubblicazione dell’annuncio in questione, a meno che quest’ultima rientri in una delle altre eccezioni previste dal RGPD. Inoltre, il gestore di un mercato online deve adoperarsi per impedire che gli annunci contenenti dati sensibili pubblicati sul suo sito siano copiati e illecitamente pubblicati su altri siti Internet. A tal fine, deve mettere in atto misure di sicurezza tecniche e organizzative adeguate”.

Il mercato online non può sottrarsi a questi obblighi invocando la Direttiva sul commercio elettronico.