Mercato online: la Corte di giustizia dell’Unione europea definisce gli obblighi del gestore della piattaforma digitale nel trattamento dei dati personali contenuti negli annunci pubblicati dagli utenti.
Il gestore è titolare del trattamento, deve prevenire la diffusione illecita di dati sensibili e non può invocare l’esonero previsto dalla direttiva sul commercio elettronico.
Con la sentenza del 2 dicembre 2025 (causa C-492/23), la Corte di giustizia dell’Unione europea (CGUE) ha fornito chiarimenti in ordine agli obblighi del gestore di mercato online, chiarendo quando tale soggetto debba essere considerato titolare del trattamento e quali misure debba adottare per prevenire la diffusione illecita di dati personali.
La decisione assume rilievo anche per l’intero settore dell’e-commerce, poiché conferma che la protezione dei dati personali prevale sulle esenzioni di responsabilità previste dalla normativa relativa ai servizi della società dell’informazione.
La Corte UE, nel caso esaminato, era stata chiamata a interpretare alcune disposizioni della direttiva sul commercio elettronico e del GDPR per chiarire gli obblighi del gestore di un mercato online nel trattamento dei dati personali pubblicati dagli utenti.
Pubblicazione di un annuncio contenente dati sensibili
Il rinvio pregiudiziale nasce da una controversia in cui una persona aveva richiesto a una società di diritto rumeno il risarcimento per la diffusione illecita dei suoi dati sensibili e la violazione dei suoi diritti alla vita privata e all’immagine.
Sebbene rimosso rapidamente, il contenuto era stato copiato e diffuso su altri siti, aggravando l’impatto sull’interessata.
Iter processuale e rinvio pregiudiziale
Il giudice d’appello nazionale aveva chiesto alla Corte di giustizia di chiarire:
Il GDPR considera titolare del trattamento chi determina finalità e mezzi del trattamento dei dati personali. Ebbene, il gestore di un mercato online, definendo le modalità di pubblicazione, organizzazione e diffusione degli annunci, svolge un ruolo attivo nel trattamento dei dati e non può essere qualificato come semplice prestatore tecnico.
La direttiva sul commercio elettronico disciplina i servizi della società dell’informazione e l’e-commerce, ma non può limitare gli obblighi imposti dal GDPR, soprattutto quando sono trattati dati appartenenti a categorie particolari, come quelli relativi alla vita sessuale.
Secondo la CGUE, il gestore del mercato online non svolge una funzione meramente tecnica: determina le modalità di pubblicazione, la visibilità degli annunci, la loro classificazione e può riutilizzare i contenuti. Tali elementi configurano una titolarità del trattamento ai sensi del GDPR.
In applicazione dei principi di protezione dei dati by design e by default, il gestore deve predisporre misure preventive idonee a identificare gli annunci che contengono dati rientranti nelle categorie particolari.
Prima della pubblicazione l’operatore deve:
In assenza di tale base giuridica, l’annuncio deve essere rifiutato.
Ai sensi dell’articolo 32 GDPR, è necessario introdurre misure tecniche che impediscano o limitino la copia e la ripubblicazione degli annunci con dati sensibili. La rimozione ex post non è sufficiente se non accompagnata da misure preventive adeguate.
La Corte di giustizia ha quindi chiarito che gli obblighi derivanti dal GDPR prevalgono sulle esenzioni di responsabilità previste dalla direttiva e-commerce. Il gestore non può qualificarsi come prestatore passivo quando partecipa al trattamento dei dati personali.
Nell'interpretare la normativa comunitaria, la Corte UE, in definitiva, ha chiarito che:
Nell'ambito dell'e-commerce e dei servizi digitali, quindi, il gestore che consente la pubblicazione di annunci e ne determina le modalità di diffusione è titolare del trattamento dei dati personali in essi contenuti.
Da ciò derivano obblighi di prevenzione, controllo e sicurezza che rafforzano significativamente la tutela degli interessati e impongono alle piattaforme un maggiore livello di responsabilità nella gestione dei contenuti generati dagli utenti.
Ai sensi dell'individuazione delle modalità semplificate per l'informativa e l'acquisizione del consenso per l'uso dei dati personali - Regolamento (UE) n.2016/679 (GDPR)
Questo sito non utilizza alcun cookie di profilazione. Sono invece utilizzati cookie di terze parti legati alla presenza dei "social plugin".