Azione rappresentativa per violazioni del GDPR senza mandato degli interessati
Le associazioni dei consumatori iscritte nell’elenco di cui all’art. 137 cod. cons., i cui requisiti sono verificati in via amministrativa al momento dell’iscrizione, sono legittimate a proporre l’azione rappresentativa compensativa e inibitoria di cui agli artt. 140 ter ss. cod. cons. anche per la tutela dei diritti riconosciuti dal Regolamento UE 2016/679 (GDPR), senza necessità di un mandato degli interessati. L’art. 80 GDPR, che lascia agli Stati membri un margine di discrezionalità nella sua attuazione, e l’azione rappresentativa disciplinata dalla direttiva 2020/1828/UE, successiva al Regolamento e che lo richiama espressamente nell’allegato I, si pongono infatti su un piano di complementarità, perché sarebbe contraria agli scopi di entrambi gli atti un’interpretazione che limitasse gli strumenti di tutela dei consumatori nella materia della protezione dei dati personali.
Il requisito dell’omogeneità dei diritti individuali per i quali è chiesta l’adozione di provvedimenti compensativi (art. 140 septies, comma 8, lett. c, cod. cons.) sussiste quando le pretese derivino da un medesimo fatto plurioffensivo secondo un nesso causale omogeneo, senza che vi osti la diversa entità del danno subito dai singoli consumatori, purché non prevalgano elementi eccessivamente personalizzati e diversificati, il cui accertamento sarebbe incompatibile con la struttura del procedimento; l’azione è ammissibile anche quando dal medesimo fatto derivino diverse voci di danno, se liquidabili secondo criteri suscettibili di standardizzazione per singola tipologia. Ricorre pertanto l’omogeneità quando si chieda il risarcimento del danno non patrimoniale ex art. 82 GDPR consistente nella perdita di controllo sui dati personali, o nel timore di tale perdita, cagionata da un’esfiltrazione massiva di dati [scraping dei dati dei profili degli utenti di un social network], pregiudizio suscettibile di liquidazione equitativa in misura standardizzata.
Il mancato invio, da parte dell’ente legittimato, della richiesta di cessazione del comportamento lesivo prevista dall’art. 140 octies, comma 8, cod. cons. non determina l’inammissibilità né l’improcedibilità dell’azione rappresentativa inibitoria, perché la norma, a differenza dell’art. 5, comma 3, d.lgs. n. 28/2010 in materia di mediazione, non commina l’improcedibilità e il legislatore nazionale non si è avvalso della facoltà, prevista dalla direttiva 2020/1828/UE, di imporre una consultazione preliminare davanti a un organismo pubblico indipendente [le lettere prodotte, inviate in proprio da un’esponente dell’ente e relative a sole pretese risarcitorie individuali, non integravano la richiesta prescritta]. La richiesta assolve alla funzione di consentire al professionista di valutare le pretese dell’ente e alle parti di ricercare soluzioni stragiudiziali, che possono essere perseguite anche nel corso del procedimento.
Ai fini della giurisdizione ai sensi dell’art. 79, paragrafo 2, GDPR, costituisce stabilimento del titolare del trattamento la società del medesimo gruppo stabilita in Italia che abbia per oggetto la promozione e la vendita di spazi pubblicitari online, attività connessa al trattamento dei dati degli utenti effettuato dal titolare, perché serve a rendere redditizi i servizi offerti dalla piattaforma [società italiana del gruppo del gestore di un social network]. Non è necessario che il trattamento sia effettuato dallo stabilimento, essendo sufficiente che avvenga nel contesto delle sue attività, espressione che non può ricevere un’interpretazione restrittiva.
