Sembra che la Corte abbia risposto affermativamente a tale quesito. Con la sentenza dello scorso 4 ottobre, i giudici hanno stabilito che gli Stati membri possono prevedere che la violazione delle norme in tema di dati personali sia contestabile in giudizio come pratica commerciale sleale – quindi vietata – da parte dei concorrenti dei presunti autori. La Corte ha, dunque, interpretato il Regolamento (UE) 2016/679 (“GDPR” o “Regolamento”) – e precisamente il Capo VIII – come insieme di norme che, oltre a consentire agli interessati di ricorrere per la corretta applicazione della normativa, non osta ad una normativa nazionale che attribuisce ai concorrenti dei presunti autori della violazione di ricorrere innanzi al giudice civile.
La fattispecie all’esame della Corte.
Nel 2017, il titolare di una farmacia della regione di Dessau-Roßlau, Germania, avviava un’azione legale contro la farmacia “Lindenapotheke” per ottenere l’interruzione della vendita sul Marketplace Amazon di medicinali la cui commercializzazione è riservata alle farmacie. Oltre a sostenere che la fattispecie configurasse una pratica commerciale sleale ai sensi dell’art. 3, par 1, Legge sulla concorrenza sleale tedesca (di seguito anche “UWG”), l’attore asseriva che il trattamento dei dati sanitari operato dalla farmacia resistente violasse le norme del GDPR. Parte ricorrente evidenziava come, per procedere all’acquisto dei farmaci, fosse necessario inserire dati personali, anche particolari, tra cui: il nome, l’indirizzo di consegna e gli elementi necessari all’individuazione dei medicinali. Tuttavia, non veniva richiesto l’esplicito consenso degli acquirenti al trattamento di tali dati; pertanto, il trattamento operato dal venditore violava l’art. 9 del GDPR.
In primo grado, il tribunale ha accolto le deduzioni avanzate dal ricorrente, ma la decisione è stata impugnata dal convenuto presso la Corte Federale di giustizia tedesca. Quest’ultima ha rimesso la questione alla Corte di Giustizia per la definizione delle domande attinenti: a) all’interpretazione del Capo VIII del GDPR, in particolare se tali norme fossero di ostacolo ad una normativa nazionale che attribuisse ai concorrenti del presunto autore di una violazione di dati personali il diritto di adire il giudice civile non solo per la violazione da ultimo menzionata ma anche per pratiche commerciali sleali; b) alla qualifica delle informazioni fornite dai clienti sul Marketplace come dati riguardanti lo stato di salute, anche quando i farmaci non siano soggetti a prescrizione medica.
La Corte di Giustizia ha, dapprima, esaminato la portata dei rimedi contenuti nel Capo VIII del Regolamento e, in particolare, negli art. 77, par. 1, 78, par. 1 e 2 e 79, par. 1, evidenziando come, nel caso di specie, tali forme di tutela non avrebbero potuto essere esperite dalla farmacia ricorrente, in quanto priva della qualifica di “interessato” (art. 4 GDPR). Tuttavia, la Corte ha rilevato che le tutele previste dal GDPR non escludono la possibilità per un’impresa concorrente di rivolgersi al giudice civile per accertare eventuali violazioni degli obblighi stabiliti dal Regolamento, in base alla normativa sulle pratiche commerciali sleali. Al contrario, la stessa lettera delle disposizioni su citate “fa salvo” ogni altro ricorso amministrativo, giudiziale o stragiudiziale. Di talché, la possibilità per un concorrente di una società di proporre ricorso dinanzi al giudice civile sulla base del divieto di pratiche commerciali scorrette per porre fine alla violazione delle norme del GDPR, non solo non pregiudica l’obiettivo di rafforzare i diritti degli interessati e gli obblighi dei titolari del trattamento, ma, è tale da potenziare l’effetto di tali disposizioni.
Sulla seconda domanda, la Corte ha concluso che le informazioni richieste in fase di acquisto dei medicinali rientrano nel novero dei dati relativi alla salute e, per l’effetto, il loro trattamento è in via di principio vietato ai sensi dell’art. 9, par. 1 GDPR. I giudici hanno ribadito che i dati richiesti fossero idonei a rivelare informazioni sullo stato di salute di una persona fisica identificata o identificabile, dal momento che è possibile individuare un collegamento tra quest’ultima e il farmaco – e le relative indicazioni terapeutiche – indipendentemente dalla presenza di una prescrizione medica che permetta di risalire in via inequivocabile al cliente o alla persona per cui quest’ultimo effettui l’ordine. Da ciò consegue che il venditore ha l’obbligo di informare i clienti sulle caratteristiche e sulle finalità specifiche del trattamento in modo chiaro, accurato e facilmente comprensibile, chiedendo il consenso a tale trattamento.
Avv. Rossella Bucca e Dott.ssa Alice Dal Bello
