L’autorità federale garante della concorrenza ha avviato nei confronti di Meta Platforms, Meta Platforms Ireland e Facebook Deutschland un procedimento in esito al quale, con decisione del 6 febbraio 2019, fondata sull’articolo 19, paragrafo 1, e sull’articolo 32 del GWB, essa ha sostanzialmente vietato loro di subordinare, nelle condizioni generali, l’uso del social network Facebook da parte di utenti privati residenti in Germania al trattamento dei loro dati off Facebook e di procedere, senza il consenso di detti utenti, al trattamento di tali dati sulla base delle condizioni generali allora vigenti. Inoltre, essa ha ordinato loro di adeguare dette condizioni generali in modo che da esse risultasse chiaramente che tali dati non sarebbero stati né raccolti, né messi in relazione con gli account degli utenti Facebook, né utilizzati senza il consenso dell’utente interessato, e ha chiarito che tale consenso non è valido qualora costituisca una condizione per l’utilizzo del social network.
L’autorità federale garante della concorrenza ha motivato la sua decisione con il fatto che il trattamento dei dati degli utenti interessati, quale previsto dalle condizioni generali e attuato da Meta Platforms Ireland, costituiva uno sfruttamento abusivo della posizione dominante di tale società sul mercato dei sociali network online per gli utenti privati in Germania, ai sensi dell’articolo 19, paragrafo 1, del GWB. Precisamente, secondo l’autorità federale garante della concorrenza, tali condizioni generali, in quanto emanazione di tale posizione dominante, sarebbero abusive perché il trattamento dei dati off Facebook da esse previsto non sarebbe conforme ai valori sottesi al RGPD e, in particolare, non potrebbe essere giustificato alla luce dell’articolo 6, paragrafo 1, e dell’articolo 9, paragrafo 2, del medesimo regolamento.
L’11 febbraio 2019 Meta Platforms, Meta Platforms Ireland e Facebook Deutschland hanno presentato un ricorso avverso la decisione dell’autorità federale garante della concorrenza dinanzi all’Oberlandesgericht Düsseldorf (Tribunale superiore del Land, Düsseldorf, Germania).32 Il 31 luglio 2019 Meta Platforms Ireland ha introdotto nuove condizioni generali, le quali indicano espressamente che l’utente, invece di pagare per l’uso dei prodotti Facebook, dichiara di acconsentire alle inserzioni pubblicitarie.
In merito, la Corte di Giustizia dell’Unione Europea (Grande Sezione) ha dichiarato:
1) Gli articoli 51 e seguenti del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) nonché l’articolo 4, paragrafo 3, TUE devono essere interpretati nel senso che:
fermo restando il rispetto del suo obbligo di leale cooperazione con le autorità di controllo, un’autorità garante della concorrenza di uno Stato membro può constatare, nell’ambito dell’esame di un abuso di posizione dominante da parte di un’impresa, ai sensi dell’articolo 102 TFUE, che le condizioni generali d’uso di tale impresa relative al trattamento dei dati personali e la loro applicazione non sono conformi a detto regolamento, qualora tale constatazione sia necessaria per accertare l’esistenza di un tale abuso.
Alla luce di tale obbligo di leale cooperazione, l’autorità nazionale garante della concorrenza non può discostarsi da una decisione dell’autorità nazionale di controllo competente o dell’autorità di controllo capofila competente che riguardi tali condizioni generali o condizioni generali analoghe. Laddove nutra dubbi sulla portata di tale decisione, laddove dette condizioni o condizioni analoghe siano, al contempo, oggetto di esame da parte di tali autorità, o, ancora, laddove, in assenza di un’indagine o di una decisione di dette autorità, ritenga che le condizioni in questione non siano conformi al regolamento 2016/679, l’autorità nazionale garante della concorrenza deve consultare dette autorità di controllo e chiederne la cooperazione, al fine di fugare i propri dubbi o di determinare se si debba attendere l’adozione di una decisione da parte di tali autorità prima di iniziare la propria valutazione. In assenza di obiezioni o di risposta di queste ultime entro un termine ragionevole, l’autorità nazionale garante della concorrenza può proseguire la propria indagine.
2) L’articolo 9, paragrafo 1, del regolamento 2016/679 deve essere interpretato nel senso che:
nel caso in cui un utente di un social network online consulti siti Internet oppure applicazioni correlati a una o più delle categorie menzionate da tale disposizione e, se del caso, inserisca in essi dati, iscrivendosi oppure effettuando ordini online, il trattamento di dati personali da parte dell’operatore di tale social network online – consistente nel raccogliere, tramite interfacce integrate, cookie o simili tecnologie di registrazione, i dati risultanti dalla consultazione di tali siti e di tali applicazioni nonché i dati inseriti dall’utente, nel mettere in relazione l’insieme di tali dati con l’account del social network di quest’ultimo e nell’utilizzare detti dati – deve essere considerato un «trattamento di categorie particolari di dati personali» ai sensi di detta disposizione, il quale è in linea di principio vietato, fatte salve le deroghe previste da detto articolo 9, paragrafo 2, qualora tale trattamento di dati sia tale da rivelare informazioni rientranti in una di dette categorie, a prescindere dal fatto che tali informazioni riguardino un utente di tale social network o qualsiasi altra persona fisica.
3) L’articolo 9, paragrafo 2, lettera e), del regolamento 2016/679 deve essere interpretato nel senso che:
un utente di un social network online, allorché consulta siti Internet oppure applicazioni correlati a una o più delle categorie menzionate all’articolo 9, paragrafo 1, di detto regolamento, non rende manifestamente pubbliche, ai sensi della prima di tali disposizioni, i dati relativi a tale consultazione, raccolti dall’operatore di detto social network online mediante cookie o simili tecnologie di registrazione.
Quando inserisce dati in tali siti Internet o applicazioni nonché quando attiva pulsanti di selezione integrati in questi ultimi, come i pulsanti «Mi piace» o «Condividi» o i pulsanti che consentono all’utente di identificarsi su un sito Internet o su un’applicazione utilizzando gli identificativi di connessione collegati al suo account di utente del social network, il suo numero di telefono o il suo indirizzo di posta elettronica, tale utente rende manifestamente pubblici, ai sensi di detto articolo 9, paragrafo 2, lettera e), del RGPD, i dati così inseriti o risultanti dall’attivazione di tali pulsanti soltanto se abbia esplicitamente espresso preliminarmente, se del caso sulla base di un’impostazione individuale di parametri effettuata con piena cognizione di causa, la sua scelta di rendere i dati che lo riguardano pubblicamente accessibili a un numero illimitato di persone.
4) L’articolo 6, paragrafo 1, primo comma, lettera b), del regolamento 2016/679 deve essere interpretato nel senso che:
il trattamento di dati personali effettuato da un operatore di un social network online – consistente nel raccogliere dati degli utenti di tale social network provenienti da altri servizi del gruppo al quale appartiene tale operatore oppure derivanti dalla consultazione, da parte di tali utenti, di siti Internet o di applicazioni di terzi, nel mettere in relazione tali dati con l’account del social network di detti utenti e nell’utilizzare detti dati – può essere considerato necessario per l’esecuzione di un contratto del quale gli interessati sono parti, ai sensi di tale disposizione, solo a condizione che detto trattamento sia oggettivamente indispensabile per realizzare una finalità che costituisce parte integrante della prestazione contrattuale destinata a quegli stessi utenti, cosicché l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento.
5) L’articolo 6, paragrafo 1, primo comma, lettera f), del regolamento 2016/679 deve essere interpretato nel senso che:
il trattamento di dati personali effettuato da un operatore di un social network online – consistente nel raccogliere dati degli utenti di tale social network provenienti da altri servizi del gruppo al quale appartiene tale operatore oppure derivanti dalla consultazione, da parte di tali utenti, di siti Internet o di applicazioni di terzi, nel mettere in relazione tali dati con l’account del social network di detti utenti e nell’utilizzare detti dati – può essere considerato necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, ai sensi di tale disposizione, solo a condizione che il suddetto operatore abbia indicato agli utenti presso i quali i dati sono stati raccolti un legittimo interesse perseguito dal loro trattamento, che tale trattamento sia effettuato entro i limiti di quanto strettamente necessario alla realizzazione di tale legittimo interesse e che dal contemperamento dei contrapposti interessi, alla luce di tutte le circostanze pertinenti, risulti che le libertà e i diritti fondamentali e gli interessi di tali utenti non prevalgono su detto legittimo interesse del titolare del trattamento o di terzi.
6) L’articolo 6, paragrafo 1, primo comma, lettera c), del regolamento 2016/679 deve essere interpretato nel senso che:
il trattamento di dati personali effettuato da un operatore di un social network online – consistente nel raccogliere dati degli utenti di tale social network provenienti da altri servizi del gruppo al quale appartiene tale operatore oppure derivanti dalla consultazione, da parte di tali utenti, di siti Internet o di applicazioni di terzi, nel mettere in relazione tali dati con l’account del social network di detti utenti e nell’utilizzare detti dati – è giustificato, ai sensi di tale disposizione, allorché è effettivamente necessario per adempiere un obbligo legale al quale il titolare del trattamento è soggetto, in forza di una disposizione del diritto dell’Unione o del diritto dello Stato membro interessato, tale base giuridica risponde ad un obiettivo di interesse pubblico ed è proporzionata all’obiettivo legittimo perseguito e tale trattamento è effettuato nei limiti dello stretto necessario.
7) L’articolo 6, paragrafo 1, primo comma, lettere d) ed e), del regolamento 2016/679 deve essere interpretato nel senso che:
il trattamento di dati personali effettuato da un operatore di un social network online – consistente nel raccogliere dati degli utenti di tale social network provenienti da altri servizi del gruppo al quale appartiene tale operatore oppure derivanti dalla consultazione, da parte di tali utenti, di siti Internet o di applicazioni di terzi, nel mettere in relazione tali dati con l’account del social network di detti utenti e nell’utilizzare detti dati – non può, in linea di principio e ferma restando la verifica che deve essere effettuata dal giudice del rinvio, essere considerato necessario alla salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica, ai sensi della lettera d), oppure all’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento, ai sensi della lettera e).
8) L’articolo 6, paragrafo 1, primo comma, lettera a), e l’articolo 9, paragrafo 2, lettera a), del regolamento 2016/679 devono essere interpretati nel senso che:
la circostanza che l’operatore di un social network online occupi una posizione dominante sul mercato dei social network online non osta, di per sé, a che gli utenti di tale social network possano validamente acconsentire, ai sensi dell’articolo 4, punto 11, di detto regolamento, al trattamento dei loro dati personali effettuato da tale operatore. Tale circostanza costituisce nondimeno un elemento importante per determinare se il consenso sia stato effettivamente prestato validamente e, in particolare, liberamente, circostanza che spetta a detto operatore dimostrare.