Dott.ssa Susanna Caruso
Con la nuova sentenza UE cambia tutto: i marketplace sono responsabili dei dati personali negli annunci. Cosa devono controllare e cosa rischiano.
La Corte di giustizia dell’Unione europea, con la sentenza C-492/23, ha cambiato in modo profondo il ruolo e le responsabilità dei gestori di marketplace digitali. Non si tratta di un semplice chiarimento tecnico, ma di una vera svolta nella tutela dei dati personali.
Per anni, molte piattaforme hanno fatto leva su un principio semplice: chi pubblica un contenuto è responsabile, chi ospita no. Oggi questo schema non basta più, soprattutto quando negli annunci circolano dati personali e, ancora di più, dati sensibili.
La decisione della Corte segna un punto fermo: il gestore di un mercato online non può limitarsi a “ospitare” gli annunci, ma deve controllare, prevenire e proteggere. E deve farlo prima che il danno si verifichi.
Il caso che ha portato al cambio di rotta sul marketplace online
La vicenda da cui nasce la sentenza è emblematica di un problema diffuso.
Una piattaforma di annunci online consente agli utenti di pubblicare inserzioni in autonomia, gratuitamente o a pagamento. Un annuncio, però, contiene foto e numero di telefono di una donna, associati a informazioni false sulla sua disponibilità a prestazioni sessuali. Il contenuto viene pubblicato senza consenso.
La piattaforma rimuove l’annuncio rapidamente, dopo la segnalazione. Tuttavia, nel frattempo, il contenuto si diffonde su altri siti. Il danno è ormai irreversibile.
Il nodo giuridico non riguarda tanto la velocità della rimozione, quanto una domanda più profonda:
il gestore del marketplace poteva davvero limitarsi a intervenire dopo?
La Corte di giustizia è stata chiamata a rispondere proprio su questo punto. E la risposta ha cambiato l’equilibrio tra libertà di impresa e tutela della persona.
Perché il GDPR prevale sulla direttiva e-commerce
Per comprendere il senso della sentenza, occorre partire da un concetto chiave: chi è il titolare del trattamento dei dati personali.
Secondo il GDPR, è titolare chi determina finalità e mezzi del trattamento. Nel contesto dei marketplace digitali, questo ruolo non è neutro. La piattaforma decide:
- come si pubblica un annuncio
- quali campi compilare
- quanto è visibile
- per quanto tempo resta online
- come viene indicizzato
- come viene diffuso
Anche se il contenuto materiale proviene dall’utente, la cornice tecnica e organizzativa è del gestore. Ed è proprio questa cornice che rende possibile la diffusione dei dati.
La Corte chiarisce un punto essenziale:
le tutele previste dalla direttiva e-commerce per gli hosting provider valgono solo in presenza di una passività reale. Quando la piattaforma struttura, promuove e rende accessibili i contenuti, quella passività viene meno.
In presenza di dati personali, soprattutto sensibili, il GDPR prende il sopravvento. E impone obblighi chiari, concreti, non eludibili.
Il gestore come titolare del trattamento dei dati negli annunci
Uno dei passaggi più rilevanti della sentenza riguarda la qualificazione giuridica del gestore del marketplace.
La Corte afferma che il gestore assume il ruolo di titolare del trattamento per i dati personali contenuti negli annunci.
Questa qualificazione non è formale. Produce effetti immediati.
Essere titolare significa dover rispettare tutti i principi del GDPR, tra cui:
- liceità
- correttezza
- trasparenza
- minimizzazione
- protezione dei dati fin dalla progettazione
Non basta più reagire alle segnalazioni. Occorre prevenire.
Obblighi di controllo preventivo nel marketplace: cosa deve fare la piattaforma
La sentenza non si limita a enunciare principi astratti. Indica, in modo chiaro, tre livelli di obbligo che il gestore deve rispettare.
Individuare i dati personali sensibili prima della pubblicazione
Il primo obbligo riguarda l’identificazione preventiva degli annunci che contengono categorie particolari di dati personali, come:
- dati sulla vita sessuale
- orientamento sessuale
- salute
- convinzioni religiose o politiche
- appartenenza sindacale
- dati biometrici o genetici
Non è richiesto un sistema perfetto. È richiesto un sistema adeguato.
Questo può tradursi in filtri automatici, controlli manuali, sistemi ibridi. La scelta dipende dalla dimensione e dalla struttura della piattaforma.
Ciò che non è più accettabile è l’assenza totale di controllo.
Verificare identità e consenso dell’interessato
Se un annuncio contiene dati sensibili, il gestore deve compiere un passo ulteriore.
Deve verificare se l’inserzionista coincide con la persona cui i dati si riferiscono. In caso contrario, deve accertare l’esistenza di un consenso esplicito, valido e documentabile.
Una semplice autodichiarazione non basta.
Il consenso deve rispettare i requisiti del GDPR, soprattutto quando riguarda dati particolari.
In mancanza di una base giuridica solida, l’annuncio non può essere pubblicato.
Impedire la diffusione non autorizzata dei contenuti
Il terzo obbligo è il più innovativo e complesso.
La Corte afferma che il dovere di protezione non si esaurisce con la rimozione. Il gestore deve adottare misure tecniche per ridurre il rischio di copia e ripubblicazione degli annunci contenenti dati sensibili.
Questo significa intervenire su:
- scraping automatico
- download non autorizzato
- riutilizzo delle immagini
- estrazione dei dati
Le soluzioni possono variare. Watermark, limitazioni tecniche, barriere di accesso. Non esiste una ricetta unica. Esiste però un principio: chi diffonde deve anche contenere.
Accountability e protezione dei dati fin dalla progettazione
La sentenza si inserisce perfettamente nella logica dell’accountability, uno dei pilastri del GDPR.
Il gestore non deve solo rispettare le regole, ma dimostrare di averle integrate nel modello di business.
La protezione dei dati non può essere un’aggiunta successiva. Deve far parte della progettazione della piattaforma. Questo vale in modo particolare per i marketplace che basano il proprio valore sulla visibilità degli annunci.
Il messaggio della Corte è chiaro: la neutralità tecnologica non giustifica l’inerzia giuridica.
Le difficoltà applicative e le questioni ancora aperte sul marketplace online
Non mancano le criticità.
Restano aperti diversi interrogativi operativi.
Quale livello di accuratezza devono avere i filtri automatici?
Quale tasso di errore è tollerabile?
Quali controlli sono proporzionati per una piattaforma di medie dimensioni?
La risposta non è unica.
Il criterio resta quello della proporzionalità rispetto al rischio. Una piattaforma locale e una multinazionale non sono chiamate agli stessi standard tecnici, ma entrambe devono dimostrare di aver agito in modo responsabile.
L’approccio sarà inevitabilmente caso per caso. Ma l’inerzia non è più un’opzione.
Marketplace, responsabilità parallele: utente e gestore rispondono entrambi
Un chiarimento importante riguarda la distribuzione delle responsabilità.
La Corte non assolve l’utente che pubblica contenuti illeciti. Al contrario, chiarisce che le responsabilità sono parallele.
- L’utente risponde per aver diffuso dati senza diritto
- Il gestore risponde per non aver impedito quella diffusione
Non si tratta di alternative. Si tratta di piani distinti che convivono.
Fine del mito della piattaforma neutrale
La sentenza C-492/23 segna la fine di un modello.
Il gestore di un mercato online non è più un semplice intermediario tecnico quando gestisce annunci che contengono dati personali.
La tutela della persona prevale sulla comodità del modello “pubblica e poi vediamo”.
Chi opera nel mercato europeo deve ripensare processi, filtri, responsabilità e governance dei dati.
In gioco non c’è solo la compliance normativa. C’è la credibilità delle piattaforme digitali e la fiducia degli utenti.
