Il gestore di un sito Internet che inserisce il plugin di un terzo, come il pulsante «Mi piace» di Facebook, il quale determina la raccolta e la trasmissione dei dati personali degli utenti, è corresponsabile di tale fase del trattamento dei dati, assieme a detto terzo (Facebook Irlanda).

Il gestore del sito Internet deve pertanto fornire agli utenti le informazioni minime richieste riguardo alle operazioni di trattamento dei dati e, se necessario, ottenere il loro consenso prima della raccolta e del trasferimento dei dati.

La suddetta responsabilità (congiunta) del responsabile del trattamento dovrebbe essere tuttavia limitata alle operazioni per le quali esso co-decide effettivamente in merito agli strumenti e alle finalità del trattamento dei dati personali. Ciò significa che il corresponsabile del trattamento ha la responsabilità dell’operazione o della serie di operazioni per la quale o per le quali condivide o co-determina le finalità e gli strumenti di una determinata operazione di trattamento. Per contro, tale persona non può essere ritenuta responsabile delle fasi precedenti o successive dell’intera catena di trattamento, per le quali non era in grado di determinare le finalità o gli strumenti.

Questa, in sintesi, la conclusione dell’Avvocato generale Bobek nella causa C-40/17, Fashion ID GmbH & Co. KG / Verbraucherzentrale NRW eV. Allo stato, si è in attesa della decisione della Corte di Giustizia.

Avv. Giulio Chiarizia

Comitato Scientifico Societario, Responsabilità Patrimoniali, Collegi Sindacali