I doveri del gestore di marketplace, la sentenza C-492/23

Una nuova sentenza ha chiarito quelli che sono i doveri di un gestore di marketplace. Nell’epoca che stiamo attraversando, la crescita dei marketplace digitali e delle piattaforme d’annunci ha apportato una rivoluzione al modo di vendere, acquistare e condividere informazioni. Un’evoluzione, quella menzionata, che ha sollevato delle importanti questioni giuridiche in materia di responsabilità dei gestori delle suddette piattaforme. E ciò, specie relativamente alla tutela dei dati personali e alla prevenzione di contenuti illeciti pubblicati dagli utenti. La sentenza C-492/23 sul tema, pronunciata dalla Corte di Giustizia dell’Unione Europea (GCUE), si pone quale punto di svolta nell’ambito. Essa chiarisce il quadro normativo e gli obblighi che gravano sui gestori di marketplace, per l’appunto.  

Il caso Russmedia Digital

In questo mese di dicembre 2025, la CGUE ha pronunciato la sentenza nella causa dov’è stata coinvolta la società rumena Russmedia Digital. La vicenda è nata da un annuncio, pubblicato senza consenso, di una donna. L’annuncio in questione riportava foto e numero di telefono della donna, e presentava la medesima come falsamente disponibile per servizi sessuali. La piattaforma Russmedia Digital, piattaforma rumena d’annunci, aveva provveduto alla rimozione dell’annuncio a seguito della segnalazione intervenuta della diretta interessata, e aveva cancellato i dati nel giro di un’ora. Ma ormai il danno era stato fatto, poiché quegli stessi contenuti erano nel frattempo stati diffusi su altri siti.

Elemento centrale nella disputa ha riguardato la responsabilità del gestore del marketplace per i contenuti pubblicati dagli utenti. La causa avanzata dalla donna, dopo un primo grado di giudizio, è stata sottoposta alla Corte d’Appello di Cluj, e quest’ultima ha deciso di richiedere l’interpretazione della Corte di Giustizia UE. Domanda fondamentale, posta in merito alla Corte europea, è se il gestore di piattaforme online possa invocare lo scudo dell’hosting provider di cui agli artt. 12-15 della Direttiva 2000/31/CE (Direttiva sul Commercio Elettronico), onde evitare che gli venga attribuita responsabilità sui dati personali pubblicati sulla propria piattaforma. O, diversamente, se in presenza di una partecipazione attiva, condotta dalla piattaforma, nella generazione, diffusione o moderazione dei contenuti, la responsabilità dovesse estendersi al medesimo soggetto titolare della piattaforma.

La qualifica di Titolare del Trattamento e la prevalenza del GDPR

Sul punto la Corte di Giustizia UE ha stabilito che, per i fini del GDPR (Regolamento UE 2016/679), il gestore di un marketplace è da qualificarsi a tutti gli effetti come titolare del trattamento dei dati personali che gli annunci pubblicitari contengono. La definizione di titolare, data dalla Corte, è in conformità a quanto previsto dall’art. 4, punto 7, GDPR, e corrisponde al soggetto che determina le finalità e i mezzi del trattamento dati.

Nel caso avvenuto e sottoposto all’attenzione della Corte, la stessa ha fatto notare nel verdetto che, sono sì gli utenti gli autori dei contenuti, ma è il gestore della piattaforma che dovrebbe compiere scelte tecniche e organizzative per un controllo effettivo su modalità di trattamento e diffusione dei dati. Il titolare della piattaforma assume conseguentemente anche la qualità di titolare del trattamento. E la sua è una figura che quindi è tenuta al rispetto di tutti gli obblighi del GDPR. In questi sono compresi gli obblighi attinenti alle categorie di dati sensibili, di cui all’art. 9 del GDPR.

La figura del titolare della piattaforma, nella concezione prevalente, sarebbe stata quella di semplice “hosting provider”, ovvero di un custode passivo dei contenuti. Ma quest’ultima è una nozione che non può trovare applicazione nel momento in cui il gestore partecipa attivamente alla pubblicazione e diffusione degli annunci. E la normativa europea prevede che la responsabilità del titolare del trattamento prevalga sulla protezione offerta dalla direttiva in ambito e-commerce (Direttiva sul Commercio Elettronico). Questa tutela i prestatori di servizi della società dell’informazione che operano appunto quali “hosting provider”, passivamente.

Gli obblighi al gestore di marketplace di controllo preventivo sui dati sensibili

Sempre nel merito di quanto stabilito con la sentenza in sede europea, essa impone ai gestori di marketplace degli obblighi piuttosto stringenti, cui i medesimi soggetti dovrebbero far fronte prima della pubblicazione d’annunci contenenti dati personali, in particolar modo se si tratta di dati sensibili. Ecco a seguire gli obblighi anzidetti:

1. Riconoscimento e filtraggio dei dati sensibili. Sul gestore grava l’onere d’adottare sistemi tecnici e organizzativi (automatici, semi-automatici o manuali) che possano individuare preventivamente annunci che contengono dati sensibili, con riferimento, ad esempio, a informazioni sulla salute, orientamento sessuale, opinioni politiche, religione, genetica o dati biometrici. Con tali sistemi si possono bloccare in fase di pubblicazione contenuti potenzialmente lesivi.
2. Verifica dell’identità e del consenso. Prima che venga pubblicato un annuncio inclusivo di dati sensibili, al gestore spetta di verificare che l’inserzionista sia effettivamente la persona interessata, o che abbia espresso un consenso esplicito e documentato. La verifica può avvenire mediante procedure d’identità affidabili, come l’upload di documenti di riconoscimento. Si necessita, inoltre, che la verifica rispetti i requisiti di validità del GDPR, tra i quali la forma esplicita del consenso (di cui all’art. 4, par. 11, e art. 7 GDPR).
3. Misure di protezione post-pubblicazione. L’obbligo di protezione è esteso anche ai dati dopo esser stati pubblicati. Il gestore dovrà implementare misure tecniche e organizzative adeguate per impedire che i contenuti, in seguito alla pubblicazione, vengano copiati, ripubblicati o diffusi su altri siti senza autorizzazione. Ci si può avvalere in ciò di sistemi anti-scraping, watermarking, o tecnologie di blocco dell’estrazione di contenuti, così da ridurre i rischi di diffusione non autorizzata.

La necessaria adeguatezza delle misure

Come anticipato, sono obblighi stringenti, e anche di difficile attuazione. Gli stessi esigono una valutazione specifica del rischio, commisurata alla dimensione e alle capacità dell’operatore. Se la Corte UE ha affermato che le misure debbano essere “adeguate”, ciò significa che non esiste una sola soluzione che possa essere valida per tutti, ma piuttosto si tratta di scegliere tra pratiche che possono conformarsi a una data piattaforma, di caso in caso.  

Questioni aperte sul compimento dei doveri del gestore di marketplace

Vi sono delle questioni aperte in merito all’applicazione pratica di quanto richiesto. Innanzitutto, la precisione degli strumenti automatici d’individuazione dei dati sensibili, in quanto non è detto che si riveli sempre come impeccabile. Si incorre infatti in un tasso di probabilità d’errore del sistema automatico, ma è importante che si tratti di un tasso accettabile. E inoltre si può verificare, sempre nell’automaticità, un determinato livello di falsi positivi, cioè dati che possono esser riconosciuti come sensibili dal sistema automatico ma che invece non sono soggetti a questa qualificazione.  

C’è poi la questione relativa alle modalità di verifica degli utenti, che dovrà essere puntuale e affidabile. Altra questione ancora attiene alla scalabilità delle misure di controllo, poiché piattaforme di grandi dimensioni dovranno mettere in atto delle misure che possano coprire milioni di annunci, contrariamente al piccolo marketplace, che potrà permettersi delle misure molto più blande e proporzionate. Ci si pone anche l’interrogativo se fare ricorso a tecnologie più avanzate rispetto ai sistemi di watermarking e anti-scraping, e qui ci sarebbe da valutare il rapporto costo/efficacia. Da ultimo, non si può non segnalare il fatto che la responsabilità non termina con la prevenzione, ma prosegue anche nel monitoraggio continuo e nella gestione delle violazioni, laddove avvengano.

Dalla sentenza si possono pertanto trarre delle linee guida per un approccio che comunque dovrà essere ponderato in relazione al caso concreto. Quel che la sentenza vuole promuovere è un modello d’accountability integrativo della protezione dei dati a partire già dalla progettazione (privacy by design).

Conclusioni sui doveri del gestore di marketplace

Con la pronuncia della CGUE si è avuto un cambio di paradigma. I marketplace, d’ora in avanti, non potranno più considerarsi delle piattaforme neutre o passive, e come tali esenti da responsabilità per i dati personali. La responsabilità del gestore si estende ora alla totalità delle fasi del trattamento, dalla pubblicazione alla protezione post-pubblicazione, con un annesso dovere di controllo preventivo e continuo.

Emerge, nel quadro attuale, una forte responsabilità condivisa tra l’utente e la piattaforma, ed emerge altresì che la tutela dei dati personali travalica ora il mero adempimento formale, e diventa presupposto per l’espletamento di una attività online legittima.  

La sentenza C-492/23 ha indicato che il modello di piattaforma “neutrale”, priva di controlli adeguati preventivi e successivi all’inserimento di dati, non è più da potersi ritenere compatibile coi principi europei di protezione dei dati. Quello imposto ora ai gestori di marketplace è allora un ruolo attivo e responsabile. Ed è stabilito che solo così sarà conforme alle normative vigenti.