Trattamento dei dati personali: l'amministratore di una fanpage di Facebook è corresponsabile

Chi amministra una fanpage di Facebook deve essere ritenuto corresponsabile - assieme alla stessa Facebook - del trattamento dei dati dei visitatori della pagina. E' quanto emerge da una sentenza della Corte di Giustizia dell'Unione Europea resa nota oggi, in risposta ad una richiesta di interpretazione che una Corte amministrativa federale tedesca ha presentato alla CGUE sulla direttiva 95/46 relativa alla protezione dei dati (si tratta della direttiva che è stata recentemente evoluta ed integrata dalle norme che rientrano sotto il cappello GDPR - regolamento UE 2016/679).

Tutto nasce da un ricorso presentato ai tribunali amministrativi tedeschi da parte della società tedesca Wirtschaftsakademie Schleswig-Holstein dopo che le autorità tedesche hanno ordinato il 3 novembre del 2011 la chiusura della rispettiva pagina Facebook poiché né la stessa Facebook, né Wirtschaftsakademie avevano informato i visitatori della fanpage del fatto che Facebook raccoglieva tramite cookie informazioni personali che venivano successivamente elaborate.

Wirtschaftsakademie ha presentato ricorso ritenendo che il trattamento dei dati personali realizzato da Facebook non può esserle imputato, negando inoltre di aver incaricato Facebook di effettuare un trattamento dei dati soggetto al suo controllo o rientrante nella sua sfera d'influenza. In altri termini la società tedesca ha ritenuto che le autorità avrebbero dovuto agire direttamente e solamente contro Facebook.

La Corte di Giustizia, esaminando il caso, da un lato osserva che non vi sono dubbi sul ritenere Facebook responsabile del trattamento dei dati personali ma stabilisce inoltre che assieme ad essa anche l'amministratore della fanpage (in questo caso la società Wirtschaftsakademie) deve essere considerata corresponsabile poiché ha la possibilità di determinare le finalità del trattamento dei dati personali dei visitatori (pur se anonimi) della sua fanpage disponendo per esempio l'attuazione di promozioni mirate sulla base dei dati demografici dei visitatori della pagina - la cui raccolta avviene contestualmente e automaticamente e non è necessario che venga disposta attivamente - e che possono essere consultati liberamente tramite gli strumenti "Insight" presenti all'interno della fanpage.

Si legge, in particolare, nel comunicato stampa diffuso dalla CGUE:

"Secondo la Corte, la circostanza che un amministratore di una fanpage utilizzi la piattaforma realizzata da Facebook per beneficiare dei servizi a essa collegati non può esonerarlo dal rispetto degli obblighi ad esso incombenti in materia di protezione dei dati personali. La Corte sottolinea che il riconoscimento di una responsabilità congiunta del gestore del social network e dell’amministratore di una fanpage presente su tale network in relazione al trattamento dei dati personali dei visitatori di tale fanpage contribuisce a garantire una più completa tutela dei diritti di cui godono le persone che visitano una fanpage, conformemente alle prescrizioni della direttiva 95/46 sulla protezione dei dati"

La sentenza della Corte di Giustizia dell'Unione Europea non ha, in questo caso, l'effetto di risolvere la controversia nazionale ma di delineare un quadro interpretativo per l'autorità nazionale che ne ha fatto richiesta. Spetterà quindi agli organi di giustizia tedesca prendere una decisione sulla vicenda conformemente al quadro interpretativo della CGUE. Quadro che rappresenterà inoltre un vincolo per gli altri stati membri qualora si dovesse presentare un problema simile.