Sentenze · 2025 · Internazionale

Nei rapporti di conto corrente assistiti da apertura di credito, la verifica dell'usurarietà degli interessi va effettuata esclusivamente al momento della pattuizione, e non durante l'esecuzione del contratto.

L'articolo 7, paragrafo 1, della direttiva 93/13/CEE del Consiglio, del 5 aprile 1993, concernente le clausole abusive nei contratti stipulati con i consumatori, letto alla luce del principio di effettività, deve essere interpretato nel senso che nel contesto dell'annullamento integrale di un contratto di mutuo ipotecario concluso tra un consumatore e un istituto bancario, sulla base del rilievo che tale contratto contiene una clausola abusiva senza la quale lo stesso contratto non può sussistere, esso osta a una giurisprudenza nazionale secondo la quale la presentazione, da parte di tale consumatore, di una dichiarazione di compensazione del suo credito con quello di detto istituto bancario comporta la rinuncia implicita all'eccezione di prescrizione relativa al credito fatto valere dallo stesso istituto.

La Corte di Giustizia afferma che anche i mobili, come tavoli da pranzo o quelli modulari, possono essere tutelati del diritto d’autore ma se rispondono ai requisiti previsti dalla normativa, occorrendo stabilire se elementi creativi dell’opera siano stati ripresi in modo riconoscibile nell’oggetto che si presume contraffatto, in quanto la loro originalità deve essere valutata secondo gli stessi requisiti applicati per giudicare quella di altri tipi di oggetti.

La Corte stabilisce che la stessa impressione visiva generale creata dai due oggetti in conflitto e il grado di originalità dell’opera non sono rilevanti.

La Corte ha chiarito che il gestore di un marketplace non può godere dell'esonero di responsabilità previsto dalla Direttiva 2000/31 essendo titolare, ai sensi del GDPR, del trattamento dei dati personali contenuti negli annunci pubblicitari pubblicati sul proprio sito.

Il gestore ha, infatti, l'obbligo di individuare gli annunci che contengono dati sensibili e di verificare che l'utente che si appresta alla pubblicazione sia effettivamente la persona i cui dati sono oggetto di diffusione. In caso contrario, il gestore ha il dovere di accertare che via sia stato un consenso esplicito alla pubblicazione, in assenza del quale quest'ultima deve essere rifiutata, a meno che non rientri in una delle eccezioni previste dallo stesso GDPR. Inoltre, il gestore deve provvedere a che gli annunci pubblicati sul proprio sito e contenenti dati sensibili non siano copiati e illecitamente diffusi da parte di altre piattaforme, mettendo in atto tutte le misure tecniche e organizzative necessarie.

La sentenza della Corte di Giustizia dell’Unione europea affronta un tema delicatissimo per chi opera nella compliance e nella consulenza legale in materia di privacy: la qualificazione dei dati pseudonimizzati e l’estensione dell’obbligo di trasparenza informativa da parte delle istituzioni UE. Il cuore della decisione riguarda l’art. 15(1)(d) Reg. 2018/1725: l’obbligo di informare i soggetti interessati sui destinatari o categorie di destinatari dei dati personali, al momento della raccolta, indipendentemente dal fatto che i dati, una volta trasmessi, potessero risultare anonimi o meno per il destinatario. Questa è una regola di trasparenza sostanziale: l’interessato deve sapere, ex ante, chi potrà trattare i suoi dati, così da poter prestare un consenso informato o esercitare le proprie prerogative di autodeterminazione. Quanto precede tenuto conto che un dato pseudonimizzato resta personale per il titolare che detiene la chiave di ricomposizione, mentre per un destinatario terzo può assumere natura diversa a seconda delle misure organizzative e tecniche adottate. Tuttavia, ai fini dell’obbligo di informazione, conta la prospettiva del titolare, non quella del terzo che dovrà valutare se vi è o meno la concreta possibilità che un soggetto (il titolare, o un terzo con mezzi ragionevoli) possa risalire all’identità.

Dal punto di vista pratico, la pronuncia impone grande cautela nell’uso di tecniche di pseudonimizzazione nelle procedure amministrative e nelle valutazioni di impatto, in quanto non è sufficiente isolare i dati identificativi e utilizzare codici sostitutivi: occorre valutare se, per il titolare, i dati restino comunque collegabili agli interessati. In tal caso, tutti gli obblighi di protezione e di trasparenza rimangono pienamente operativi. Per le istituzioni europee e le grandi organizzazioni, ciò significa rivedere le informative privacy nei processi complessi (es. consultazioni pubbliche, gare, procedure di indennizzo) e assicurarsi che siano sempre indicate tutte le possibili categorie di destinatari, anche partner tecnici e consulenti. La sentenza rappresenta un richiamo forte all’approccio sostanziale in materia di dati personali: pseudonimizzazione non equivale ad anonimizzazione, e la trasparenza è un prerequisito di legittimità. Per giuristi, DPO e consulenti occorre mappare con precisione i flussi di dati, valutare realisticamente i rischi di identificazione e garantire informative complete, senza confidare in soluzioni tecniche che possano “declassare” la natura dei dati. Una decisione che, pur calata in un contesto istituzionale specifico, ha effetti diretti anche per la prassi aziendale e la consulenza legale quotidiana.

Il tutto, considerando che, come indica il termine stesso, pseudonimizzare un dato è un procedimento che impedisce di identificare direttamente la persona cui si riferisce il dato, in quanto tali dati non possono essere attribuiti a un individuo specifico senza l'uso di ulteriori informazioni. Come indicato nella definizione di pseudonimizzazione inserita nel GDPR (articolo 4, comma 5), essa rappresenta il "trattamento dei dati personali tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile". Inoltre, il Considerando 26 del GDPR ricorda come "i dati personali sottoposti a pseudonimizzazione, i quali potrebbero essere attribuiti a una persona fisica mediante l'utilizzo di ulteriori informazioni, dovrebbero essere considerati informazioni su una persona fisica identificabile”.