Corte di Giustizia UE: il gestore di un sito web è responsabile del trattamento dei dati degli annunci pubblicati sulla sua piattaforma e non può invocare l’assenza dell’obbligo generale di sorveglianza per i fornitori di servizi di hosting.

Nella sentenza C-492/23 - Russmedia Digital e Inform Media Press la Corte di Giustizia UE ha affrontato il seguente caso.

La Russmedia Digital, una società di diritto rumeno, è proprietaria del sito Internet www.publi24.ro. Questo sito è un mercato online sul quale è possibile pubblicare annunci gratuitamente o a pagamento. Tali annunci riguardano in particolare la vendita di beni o la fornitura di servizi in Romania.

Una persona non identificata ha pubblicato su questo sito un messaggio in cui si affermava che una donna offriva servizi sessuali. Il messaggio conteneva foto della donna, utilizzate senza il suo consenso, e il suo numero di telefono.

La donna ha ritenuto che l'annuncio fosse menzognero e dannoso e ha quindi chiesto al proprietario del sito di rimuoverlo. Dopo tale richiesta, nel giro di un'ora la Russmedia Digital ha provveduto a rimuovere la pubblicazione. Tuttavia, l'annuncio in questione era già stato diffuso su altri siti Internet, sui quali è rimasto accessibile. In tali circostanze, ritenendo che l'annuncio violasse i suoi diritti all'immagine, all'onore, alla reputazione, alla vita privata nonché le norme relative al trattamento dei dati personali, la donna ha adito la giustizia rumena. Il Tribunale di primo grado le ha dato ragione e ha condannato la Russmedia Digital a versarle 7.000 euro a titolo di danni morali. In appello, tuttavia, il Tribunale specializzato ha considerato tale società esonerata da responsabilità, qualificandola come semplice prestatore di servizi di hosting non responsabile dei contenuti pubblicati dai suoi utenti. La vittima ha quindi impugnato tale sentenza dinanzi alla Corte d'appello. Quest’ultima ha deciso di adire la Corte di giustizia per ottenere chiarimenti circa l'interpretazione del diritto dell'Unione, in particolare quanto agli obblighi che gravano sul gestore di un mercato online ai sensi del RGPD, e per chiarire se tale gestore possa sottrarsi a detti obblighi in virtù dell'esonero da responsabilità previsto dalla direttiva 2000/31 per i prestatori di servizi della società dell'informazione

Nella sua sentenza la Corte statuisce che il gestore di un mercato online come la Russmedia Digital è titolare del trattamento dei dati personali contenuti negli annunci pubblicati nel proprio mercato online. Infatti, anche se l'annuncio è inserito da un utente, tale annuncio viene pubblicato su Internet e quindi reso accessibile agli utenti di Internet solo grazie al mercato online. Di conseguenza, il gestore di un mercato online deve, prima di pubblicare tali annunci e mediante misure tecniche e organizzative adeguate, individuare quelli che contengono dati sensibili, come quelli oggetto della presente causa, e verificare se l'utente che si appresta a collocare un annuncio di questo tipo sia la persona i cui dati sensibili vi figurano. Se così non è, esso deve verificare se la persona i cui dati sono pubblicati ha prestato il proprio consenso esplicito alla pubblicazione. In assenza di questo consenso, il gestore di un mercato online deve rifiutare la pubblicazione dell'annuncio in questione, a meno che quest’ultima rientri in una delle altre eccezioni previste dal RGPD. Inoltre, il gestore di un mercato online deve adoperarsi per impedire che gli annunci contenenti dati sensibili pubblicati sul suo sito siano copiati e illecitamente pubblicati su altri siti Internet. A tal fine, deve mettere in atto misure di sicurezza tecniche e organizzative adeguate.