Sentenze · Internazionale

In tema di domanda del mediatore immobiliare per il pagamento della provvigione, proposta nei confronti di venditore e acquirente domiciliati in altro Stato membro UE, la giurisdizione del giudice italiano non può essere fondata sulla competenza speciale in materia contrattuale ex art. 7, n. 1, Reg. (UE) n. 1215/2012, ove ricorrano i presupposti della disciplina speciale dettata per i contratti conclusi dai consumatori (artt. 17 e 18 dello stesso Regolamento).

La Corte di giustizia U.E. con la suddetta pronuncia enuncia i seguenti principi di diritto: L’articolo 31 della Direttiva 2015/849 (IV direttiva antiriciclaggio), come modificata dalla direttiva 2018/843 (V direttiva antiriciclaggio), deve essere interpretato nel senso che: non osta a una normativa nazionale in forza della quale i mandati fiduciari stipulati da società fiduciarie di diritto italiano sono considerati come rientranti nella nozione di «altri tipi di istituti giuridici», ai sensi di tale disposizione; non osta a una normativa nazionale che consente l’accesso alle informazioni sulla titolarità effettiva di un trust o di un istituto giuridico affine ai soggetti privati, compresi quelli portatori di interessi diffusi, titolari di un interesse giuridico rilevante e differenziato, nei casi in cui la conoscenza della titolarità effettiva sia necessaria per curare o difendere un interesse corrispondente a una situazione giuridicamente tutelata, qualora tali soggetti privati abbiano evidenze della non corrispondenza tra titolarità effettiva e titolarità legale, richiedendo, altresì, tale normativa nazionale che l’interesse giuridico sia diretto, concreto ed attuale e che, nel caso di enti rappresentativi di interessi diffusi, non debba coincidere con l’interesse di singoli appartenenti alla categoria rappresentata; non osta a una normativa nazionale che conferisce a un organo amministrativo non giurisdizionale il potere di concedere una deroga all’accesso alle informazioni sulla titolarità effettiva di un trust o di un istituto giuridico affine, ai sensi di tale articolo 31, paragrafo 7 bis. Per contro, tale disposizione osta a una siffatta normativa nazionale nella misura in cui essa non prevede che il titolare effettivo interessato possa beneficiare di una tutela giuridica provvisoria qualora una siffatta deroga non sia concessa.

In tema di clausole abusive nei contratti di mutuo con i consumatori, l'art. 1, par. 1, e l'art. 7, par. 1, dir. 93/13/CEE, letti alla luce del principio di effettività e dell'art. 47 CDFUE, ostano a un'interpretazione del diritto nazionale secondo cui, ove il contratto non possa sussistere senza una clausola abusiva incidente sull'oggetto principale (nella specie, clausola di trasferimento integrale del rischio di cambio sul consumatore), il consumatore possa far valere in giudizio le conseguenze giuridiche della dichiarazione di nullità solo entro un termine di prescrizione quinquennale decorrente dalla stipula del contratto, qualora a tale data egli non fosse, né potesse ragionevolmente essere, a conoscenza del carattere abusivo della clausola e, dunque, non fosse in grado di esercitare utilmente i diritti conferiti dalla direttiva 93/13.

Nei rapporti di conto corrente assistiti da apertura di credito, la verifica dell'usurarietà degli interessi va effettuata esclusivamente al momento della pattuizione, e non durante l'esecuzione del contratto.

L'articolo 7, paragrafo 1, della direttiva 93/13/CEE del Consiglio, del 5 aprile 1993, concernente le clausole abusive nei contratti stipulati con i consumatori, letto alla luce del principio di effettività, deve essere interpretato nel senso che nel contesto dell'annullamento integrale di un contratto di mutuo ipotecario concluso tra un consumatore e un istituto bancario, sulla base del rilievo che tale contratto contiene una clausola abusiva senza la quale lo stesso contratto non può sussistere, esso osta a una giurisprudenza nazionale secondo la quale la presentazione, da parte di tale consumatore, di una dichiarazione di compensazione del suo credito con quello di detto istituto bancario comporta la rinuncia implicita all'eccezione di prescrizione relativa al credito fatto valere dallo stesso istituto.

La Corte di Giustizia afferma che anche i mobili, come tavoli da pranzo o quelli modulari, possono essere tutelati del diritto d’autore ma se rispondono ai requisiti previsti dalla normativa, occorrendo stabilire se elementi creativi dell’opera siano stati ripresi in modo riconoscibile nell’oggetto che si presume contraffatto, in quanto la loro originalità deve essere valutata secondo gli stessi requisiti applicati per giudicare quella di altri tipi di oggetti.

La Corte stabilisce che la stessa impressione visiva generale creata dai due oggetti in conflitto e il grado di originalità dell’opera non sono rilevanti.

La Corte ha chiarito che il gestore di un marketplace non può godere dell'esonero di responsabilità previsto dalla Direttiva 2000/31 essendo titolare, ai sensi del GDPR, del trattamento dei dati personali contenuti negli annunci pubblicitari pubblicati sul proprio sito.

Il gestore ha, infatti, l'obbligo di individuare gli annunci che contengono dati sensibili e di verificare che l'utente che si appresta alla pubblicazione sia effettivamente la persona i cui dati sono oggetto di diffusione. In caso contrario, il gestore ha il dovere di accertare che via sia stato un consenso esplicito alla pubblicazione, in assenza del quale quest'ultima deve essere rifiutata, a meno che non rientri in una delle eccezioni previste dallo stesso GDPR. Inoltre, il gestore deve provvedere a che gli annunci pubblicati sul proprio sito e contenenti dati sensibili non siano copiati e illecitamente diffusi da parte di altre piattaforme, mettendo in atto tutte le misure tecniche e organizzative necessarie.

La sentenza della Corte di Giustizia dell’Unione europea affronta un tema delicatissimo per chi opera nella compliance e nella consulenza legale in materia di privacy: la qualificazione dei dati pseudonimizzati e l’estensione dell’obbligo di trasparenza informativa da parte delle istituzioni UE. Il cuore della decisione riguarda l’art. 15(1)(d) Reg. 2018/1725: l’obbligo di informare i soggetti interessati sui destinatari o categorie di destinatari dei dati personali, al momento della raccolta, indipendentemente dal fatto che i dati, una volta trasmessi, potessero risultare anonimi o meno per il destinatario. Questa è una regola di trasparenza sostanziale: l’interessato deve sapere, ex ante, chi potrà trattare i suoi dati, così da poter prestare un consenso informato o esercitare le proprie prerogative di autodeterminazione. Quanto precede tenuto conto che un dato pseudonimizzato resta personale per il titolare che detiene la chiave di ricomposizione, mentre per un destinatario terzo può assumere natura diversa a seconda delle misure organizzative e tecniche adottate. Tuttavia, ai fini dell’obbligo di informazione, conta la prospettiva del titolare, non quella del terzo che dovrà valutare se vi è o meno la concreta possibilità che un soggetto (il titolare, o un terzo con mezzi ragionevoli) possa risalire all’identità.

Dal punto di vista pratico, la pronuncia impone grande cautela nell’uso di tecniche di pseudonimizzazione nelle procedure amministrative e nelle valutazioni di impatto, in quanto non è sufficiente isolare i dati identificativi e utilizzare codici sostitutivi: occorre valutare se, per il titolare, i dati restino comunque collegabili agli interessati. In tal caso, tutti gli obblighi di protezione e di trasparenza rimangono pienamente operativi. Per le istituzioni europee e le grandi organizzazioni, ciò significa rivedere le informative privacy nei processi complessi (es. consultazioni pubbliche, gare, procedure di indennizzo) e assicurarsi che siano sempre indicate tutte le possibili categorie di destinatari, anche partner tecnici e consulenti. La sentenza rappresenta un richiamo forte all’approccio sostanziale in materia di dati personali: pseudonimizzazione non equivale ad anonimizzazione, e la trasparenza è un prerequisito di legittimità. Per giuristi, DPO e consulenti occorre mappare con precisione i flussi di dati, valutare realisticamente i rischi di identificazione e garantire informative complete, senza confidare in soluzioni tecniche che possano “declassare” la natura dei dati. Una decisione che, pur calata in un contesto istituzionale specifico, ha effetti diretti anche per la prassi aziendale e la consulenza legale quotidiana.

Il tutto, considerando che, come indica il termine stesso, pseudonimizzare un dato è un procedimento che impedisce di identificare direttamente la persona cui si riferisce il dato, in quanto tali dati non possono essere attribuiti a un individuo specifico senza l'uso di ulteriori informazioni. Come indicato nella definizione di pseudonimizzazione inserita nel GDPR (articolo 4, comma 5), essa rappresenta il "trattamento dei dati personali tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile". Inoltre, il Considerando 26 del GDPR ricorda come "i dati personali sottoposti a pseudonimizzazione, i quali potrebbero essere attribuiti a una persona fisica mediante l'utilizzo di ulteriori informazioni, dovrebbero essere considerati informazioni su una persona fisica identificabile”.