Corte di giustizia UE/2024

62023CJ0021_RES [OSCURATO:PERSONA]21/23 ND contro [OSCURATO:PERSONA] (domanda di pronuncia pregiudiziale proposta dal Bundesgerichtshof) Sentenza della Corte (Grande Sezione) del 4 ottobre 2024 «Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Capo VIII – Mezzi di ricorso – Commercializzazione di medicinali da parte di un farmacista tramite una piattaforma online – Ricorso proposto dinanzi ai giudici civili da un concorrente di tale farmacista sulla base del divieto delle pratiche commerciali sleali per violazione da parte di quest’ultimo degli obblighi previsti da tale regolamento – Legittimazione ad agire – Articolo 4, punto 15, e articolo 9, paragrafi 1 e 2 – Direttiva 95/46/CE – Articolo 8, paragrafi 1 e 2 – Nozione di “dati relativi alla salute” – Condizioni per il trattamento di simili dati» Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Mezzi di ricorso – Non tassatività – Normativa nazionale che consente ai concorrenti del presunto autore di una violazione degli obblighi previsti dal regolamento di proporre un ricorso dinanzi ai giudici civili sulla base del divieto delle pratiche commerciali sleali – Ammissibilità (Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 77-80) (v. punti 53-57, 60, 62-73, dispositivo 1) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Nozione di dati relativi alla salute – Informazioni riguardanti i clienti di un gestore di una farmacia che mette in vendita medicinali su una piattaforma online, fornite al momento dell’ordine di tali medicinali – Informazioni sul nome di tali clienti, l’indirizzo di consegna e quelle necessarie all’individualizzazione dei medicinali – Inclusione – Vendita di medicinali non soggetta a prescrizione medica – Irrilevanza (Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 4, punti 1 e 15, e 9, § 1; direttiva del Parlamento europeo e del Consiglio 95/46, art. 8, § 1) (v. punti 84, 88-91, dispositivo 2) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Trattamento di categorie particolari di dati personali – Divieto – Deroghe (Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 53 art. 9, §§ 1 e 2; direttiva del Parlamento europeo e del Consiglio 95/46, art. 8, §§ 1 e 2) (v. punti 86, 87, 92, 93) [OSCURATO:PERSONA] in via pregiudiziale dal Bundesgerichtshof (Corte federale di giustizia, Germania), la Grande Sezione della Corte si pronuncia sulla natura e sulla portata del sistema di mezzi di ricorso in materia di protezione dei dati ( 1 ) nonché sulla nozione di «dati relativi alla salute» ( 2 ). ND e DR, due persone fisiche, gestiscono ciascuna una farmacia in Germania. Dal 2017 la ND commercializza, sulla piattaforma online «Amazon-Marketplace», medicinali la cui vendita è riservata alle farmacie. Quando ordinano tali medicinali online, i clienti di ND devono inserire informazioni, quali il loro nome, l’indirizzo di consegna e gli elementi necessari all’individualizzazione di detti medicinali. Basandosi sul diritto tedesco in materia di concorrenza sleale ( 3 ), DR ha proposto nei confronti di ND un'azione inibitoria dinanzi ai giudici civili nazionali. DR ha sostenuto che la commercializzazione dei medicinali da parte di ND era sleale per violazione dei requisiti di legge relativi all'ottenimento del previo consenso del cliente al trattamento dei suoi dati relativi alla salute. Dopo che i giudici di grado inferiore hanno accolto tale azione, ND ha proposto ricorso per cassazione («Revision») dinanzi al giudice del rinvio, il quale, a sua volta, ha ritenuto necessario adire la Corte in via pregiudiziale. Nella sua sentenza, la Corte conclude per la non tassatività del sistema di mezzi di ricorso istituito dal RGPD, riconoscendo che tale regolamento non osta a che gli Stati membri prevedano, nel diritto nazionale, la possibilità per i concorrenti del presunto autore di una violazione delle disposizioni sostanziali di detto regolamento di contestarla in giudizio in quanto pratica commerciale sleale. Inoltre, essa fornisce precisazioni sui contorni della nozione di «dati relativi alla salute». Giudizio della Corte In primo luogo, la Corte rileva che, sebbene il capo VIII del RGPD non preveda specificamente una clausola di apertura che consenta, espressamente, agli Stati membri di prevedere una simile possibilità di ricorso per i concorrenti, dai termini e dal contesto delle disposizioni di tale capo VIII risulta tuttavia che il legislatore dell'Unione non ha inteso escluderla. Tale interpretazione è confermata dagli obiettivi perseguiti dal RGPD. Infatti, da un lato, un’azione inibitoria intentata da un concorrente nei confronti di un’impresa sulla base del divieto delle pratiche commerciali sleali, per l’asserita violazione delle disposizioni sostanziali del RGPD, non pregiudica in alcun modo il sistema dei mezzi di ricorso previsto da tale regolamento né l’obiettivo di assicurare un livello coerente di protezione delle persone fisiche in tutta l’Unione europea e prevenire disparità che possono ostacolare la libera circolazione dei dati personali nel mercato interno. In tale contesto, la Corte precisa che, certamente, un’azione del genere può basarsi, anche se incidentalmente, sulla violazione delle stesse disposizioni del RGPD su cui potrebbe basarsi un reclamo o un ricorso proposto dalle persone interessate o da un’associazione che le rappresenti ( 4 ). Tuttavia, a differenza di tali mezzi di ricorso previsti dal RGPD, l’azione inibitoria proposta da un concorrente non persegue, in quanto tale, un obiettivo di tutela delle libertà e dei diritti fondamentali degli interessati con riguardo al trattamento dei loro dati personali, ma mira ad assicurare una concorrenza leale, nell’interesse in particolare di tale concorrente. Inoltre, la possibilità per un concorrente di intentare un’azione di questo tipo dinanzi ai giudici civili sulla base del divieto delle pratiche commerciali sleali si aggiunge ai mezzi di ricorso previsti dal RGPD, che sono pienamente preservati e possono sempre essere esercitati dagli interessati nonché, se del caso, dalle associazioni che rappresentano tali persone. In particolare, la coesistenza di mezzi di ricorso ai sensi del diritto della protezione dei dati e del diritto della concorrenza non crea rischi per l’applicazione uniforme di detto regolamento. In aggiunta, la più ampia possibilità di invocare le disposizioni sostanziali del RGPD, da parte di persone diverse dagli interessati e dagli organismi, dalle organizzazioni e associazioni, non pregiudica il raggiungimento dell’obiettivo di assicurare un livello coerente di protezione di tali persone in tutta l’Unione e di prevenire disparità che possono ostacolare la libera circolazione dei dati personali nel mercato interno. Infatti, anche se alcuni Stati membri non prevedessero una tale possibilità, non ne deriverebbe comunque una frammentazione dell’attuazione della protezione dei dati all’interno dell’Unione, essendo le disposizioni sostanziali del RGPD parimenti vincolanti per tutti i titolari del trattamento e la loro osservanza essendo garantita dai mezzi di ricorso previsti da tale regolamento. Dall’altro lato, per quanto riguarda l’obiettivo di assicurare una protezione efficace degli interessati in relazione al trattamento dei loro dati personali e all’effetto utile delle disposizioni sostanziali del RGPD, la Corte osserva che, sebbene un’azione inibitoria intentata da un concorrente del presunto autore di una violazione della protezione dei dati personali miri non a tale obiettivo, bensì ad assicurare una concorrenza leale, ciò non toglie che essa contribuisca incontestabilmente al rispetto di tali disposizioni e, quindi, a rafforzare i diritti degli interessati e ad assicurare loro un elevato livello di protezione. Del resto, un’azione inibitoria di questo tipo da parte di un concorrente può rivelarsi particolarmente efficace, al pari di quella delle associazioni per la tutela degli interessi dei consumatori, al fine di garantire siffatta tutela, in quanto è idonea a prevenire un gran numero di violazioni dei diritti delle persone interessate dal trattamento dei loro dati personali ( 5 ) Pertanto, la Corte rileva che le disposizioni del RGPD riguardanti il sistema dei mezzi di ricorso devono essere interpretate nel senso che non ostano a una normativa nazionale che, parallelamente ai poteri di intervento delle autorità di controllo incaricate di sorvegliare e di far applicare tale regolamento e parallelamente alle possibilità di ricorso degli interessati, conferisce ai concorrenti del presunto autore di una violazione della protezione dei dati personali la legittimazione ad agire contro quest’ultimo, mediante ricorso dinanzi ai giudici civili, per violazione di detto regolamento e sul fondamento del divieto delle pratiche commerciali sleali. In secondo luogo, quanto alla nozione di «dati relativi alla salute», la Corte dichiara che rientrano in tale nozione i dati che un cliente inserisce su una piattaforma online al momento dell'ordine di medicinali la cui vendita è riservata alle farmacie. Infatti, tali dati sono idonei a rivelare, mediante un’operazione intellettuale di raffronto o di deduzione, informazioni sullo stato di salute dell’interessato ( 6 ), in quanto tale ordine implica la creazione di un nesso tra un medicinale, le sue indicazioni terapeutiche o i suoi usi, e una persona fisica identificata o identificabile da elementi quali il nome di tale persona o l’indirizzo di consegna. Inoltre, la Corte dichiara che è irrilevante al riguardo che la vendita dei medicinali ordinati non sia soggetta a prescrizione medica e che essi potrebbero quindi essere destinati non al cliente che procede all'ordine, bensì a terzi. Pertanto, nel caso in cui un utente di una piattaforma online comunichi dati personali al momento dell'ordine di medicinali la cui vendita è riservata alle farmacie senza essere soggetta a prescrizione medica, il trattamento di tali dati da parte del gestore di una farmacia che vende tali medicinali tramite tale piattaforma online deve essere considerato un trattamento riguardante dati relativi alla salute ( 7 ), dato che tale trattamento è idoneo a rivelare informazioni sullo stato di salute di una persona fisica, a prescindere dal fatto che tali informazioni riguardino tale utente o qualsiasi altra persona per la quale quest’ultimo effettua l’ordine ( 8 ). Infatti, un'interpretazione che porti a distinguere in base al tipo di medicinale in questione e al fatto che la sua vendita sia o meno soggetta a prescrizione medica non sarebbe coerente con l’obiettivo di un elevato livello di protezione delle libertà e dei diritti fondamentali delle persone fisiche, in particolare della loro vita privata, rispetto al trattamento dei dati personali che le riguardano. Siffatta interpretazione contrasterebbe, per di più, con la finalità dell’articolo 8, paragrafo 1, della direttiva 95/46 e dell’articolo 9, paragrafo 1, del RGPD, consistente nel garantire una protezione maggiore nei confronti di trattamenti che, a causa della natura particolarmente sensibile dei dati che ne sono oggetto, possono costituire un’ingerenza particolarmente grave nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali ( 9 ). Pertanto, le informazioni che i clienti immettono quando ordinano online medicinali la cui vendita è riservata alle farmacie senza essere soggetta a prescrizione medica costituiscono dati relativi alla salute, anche se è solo con una certa probabilità, e non con assoluta certezza, che tali medicinali siano destinati a tali clienti. La Corte aggiunge che non si può escludere che, anche nell’ipotesi in cui simili medicinali siano destinati a persone diverse dai clienti, sia possibile identificare tali persone e trarre conclusioni sul loro stato di salute. Ciò potrebbe verificarsi, ad esempio, quando i medicinali in questione sono consegnati non al domicilio del cliente che li ha ordinati, ma al domicilio di un’altra persona, o quando, indipendentemente dall’indirizzo di consegna, il cliente ha fatto riferimento, nell’ordine o nelle comunicazioni ad esso relative, ad un’altra persona identificabile, quale un suo familiare. Infine, la Corte osserva che il fatto che le informazioni di cui trattasi costituiscano dati relativi alla salute non impedisce che esse possano essere oggetto di trattamento, in particolare nell’ambito della gestione dei servizi e dei sistemi di assistenza sanitaria, se si verifica uno dei casi previsti al riguardo ( 10 ). Da un lato, ciò può avvenire in particolare se l’interessato presta il suo consenso esplicito a uno o più trattamenti di detti dati personali le cui caratteristiche e finalità specifiche gli sono state presentate in modo accurato, completo e facilmente comprensibile. Dall’altro, siffatto trattamento può essere consentito, qualora sia necessario ai fini dell’assistenza sanitaria sulla base del diritto dell’Unione o degli Stati membri o conformemente al contratto con un professionista della sanità. ( 1 ) Capo VIII del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 2 ) Di cui, rispettivamente, all’articolo 8, paragrafo 1, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( GU 1995, L 281, pag. 31 ), e all’articolo 9, paragrafo 1, del RGPD. ( 3 ) Gesetz gegen den unlauteren Wettbewerb (legge contro la concorrenza sleale), del 3 luglio 2004 (BGBl. 2004 I, pag. 1414), nella versione applicabile alla controversia di cui al procedimento principale. ( 4 ) Articoli da 77 a 80 del RGPD. ( 5 ) V., in tal senso, sentenza del 28 aprile 2022, [OSCURATO:PERSONA] ( C-319/20 , EU:C:2022:322 , punti 74 e 75 ). ( 6 ) Ai sensi dell’articolo 4, punto 1, del RGPD. ( 7 ) Ai sensi della Articolo 8, paragrafo 1, della direttiva 95/46 e dell’articolo 9, paragrafo 1, del RGPD. ( 8 ) V., in tal senso, sentenza del 4 luglio 2023, [OSCURATO:PERSONA] e a. (Condizioni generali di utilizzo di un social network) ( C-252/21 , EU:C:2023:537 , punto 73 ). ( 9 ) V. sentenza del 1o agosto 2022, Vyriausioji tarnybinės etikos komisija ( C-184/20 , EU:C:2022:601 , punto 126 e giurisprudenza citata). ( 10 ) Casi elencati all’articolo 8, paragrafo 2, della direttiva 95/46 e all’articolo 9, paragrafo 2, del RGPD.