CORTE DI GIUSTIZIA DELL’UNIONE EUROPEA: L’UTENTE FACEBOOK È, IN LINEA DI PRINCIPIO, UN “CONSUMATORE” SE AGISCE INDIVIDUALMENTE CONTRO IL SOCIAL NETWORK MA NON PUÒ AVVALERSI DEL FORO DEL CONSUMATORE AI FINI DI UNA CLASS ACTION (CGUE 25 GENNAIO 2018, C-498/16).

Autore: Avv. Teresa Aloi

La Corte di giustizia dell’Unione europea con la sentenza del 25 gennaio 2018, C-498/16, ha riconosciuto ad un cittadino europeo il diritto di citare in giudizio una controparte straniera nel proprio Paese, facendo valere il “foro del consumatore” ma gli ha negato il diritto di rappresentare altri utenti al fine dell’esercizio di una class action.

La domanda di pronuncia pregiudiziale verteva sull’interpretazione degli artt. 15 e 16 del Regolamento n. 44/2001 del Consiglio del 22 dicembre 2000, concernente la competenza giurisdizionale, il riconoscimento e l’esecuzione delle decisioni in materia civile e commerciale; Regolamento ora abrogato ma ancora applicabile per le azioni proposte prima di gennaio 2015.

Il Parlamento ed il Consiglio dell’Unione europea hanno approvato, infatti, il Regolamento UE n. 1215/2012 che, dal 10 gennaio 2015, ha sostituito il Regolamento n. 44/2001 ed oggi costituisce lo strumento normativo volto a disciplinare nell’Unione europea la competenza giurisdizionale, il riconoscimento e l’esecuzione delle decisioni in materia civile e commerciale. Il nuovo Regolamento non presenta degli evidenti stravolgimenti della disciplina trattandosi di una revisione e non di un testo normativo integralmente nuovo.

La domanda era stata presentata nell’ambito di una controversia che vedeva contrapposti il Sig. M. Schrems, domiciliato in Austria e Facebook Ireland Limited con sede in Irlanda.

Come osservato da più parti, da un punto di vista strettamente giuridico, questa non è una sentenza “storica”, nonostante l’altisonante nome della parte resistente, ma qualcosa di significativo potrebbe comunque accadere successivamente ad essa sia in Austria, dove potrebbe essere rivista l’attuale disciplina sulla class action, sia in ambito comunitario.

Con riferimento all’ambito comunitario, l’Avvocato Generale Michal Bobek, pur negando nella sostanza l’argomentazione addotta dal ricorrente in punto di diritto, ne riconosce la potenziale valenza per un auspicabile implementazione dello strumento della class action a livello comunitario, affinchè il ricorso a tale rimedio giudiziale possa diventare più rapido, semplice ed uniforme per ciascun cittadino europeo.

Il Sig. Schrems utilizza la rete sociale Facebook dal 2008. A partire dal 2010 egli dedica un account Facebook unicamente alle proprie attività private, quali scambio di fotografie, chat e pubblicazione di post. In tale account egli scrive il proprio nome utilizzando i caratteri cirillici per restare irreperibile nel caso di ricerche fatte utilizzando il suo nome.

Nel 2011, Max Schrems, studente di legge, dopo essere rientrato da un viaggio in California, si accorge che il social network ha conservato i suoi dati in 1.200 pagine. Quando Edward Snowden (informatico statunitense, ex tecnico della CIA, noto per aver rivelato pubblicamente dettagli di diversi programmi di sorveglianza di massa dei governi statunitense e britannico, fino ad allora tenuti segreti) ha rivelato l’esistenza del programma di sorveglianza Prism (programma di intercettazione telefonica tra Stati Uniti ed Unione europea), Schrems si è convinto che i suoi dati e quelli dei cittadini europei non sono al sicuro, perché trasferiti in server in USA ed in altre zone del mondo da aziende come Facebook. Il tutto, però, secondo l’accordo transatlantico Safe Harbor  che disciplina lo standard americano ed europeo per la trasmissione e la conservazione dei dati dei cittadini.

A partire dal 2011 Schrems presenta davanti al Garante irlandese per la protezione dei dati una serie di denunce contro Facebook Ireland, una delle quali ha dato luogo ad un rinvio pregiudiziale davanti alla Corte di giustizia europea che ha emesso una sentenza in suo favore (CGUE 6 ottobre 2015, C-362/14)[1]. Fu proprio questa sua battaglia a regalare a Schrems grande notorietà in quanto riuscì a dimostrare, a suo tempo, che il progetto Safe Harbor, voluto dall’allora Comunità Europea e finalizzato alla protezione dei dati dei cittadini europei, non garantisse a quest’ultimi un adeguato livello di tutela, una volta che i loro dati fossero transitati dall’altra parte dell’Oceano Atlantico e gestiti da aziende americane di data protection.

Nello stesso anno egli crea una pagina Facebook per informare gli utenti di internet della sua azione contro Facebook Ireland, delle sue conferenze, delle partecipazioni a dibattiti per avviare richieste di donazioni e per fare pubblicità ai suoi libri. Max Schrems ha pubblicato due libri riguardo alla sua azione contro le presunte violazioni della protezione dei dati, ha tenuto conferenze, alcune delle quali retribuite, ha registrato numerosi siti di campagne raccolta fondi per i procedimenti contro il social network. Egli ha fondato, inoltre, un’associazione diretta a far rispettare il diritto fondamentale alla protezione dei dati e ha ottenuto la cessione da parte di oltre 25.000 persone in tutto il mondo, dei loro diritti al fine di farli valere nella presente controversia.

L’associazione non ha fini di lucro e ha come obiettivo di fornire un sostegno finanziario a cause pilota di interesse generale contro imprese che potenzialmente minacciano il diritto fondamentale alla protezione dei dati.

Schrems ritiene che Facebook sia colpevole di numerose violazioni di disposizioni in materia di protezione dei dati, in particolare, della legge austriaca del 2000 (Datenschutzgesetz 2000), della legge irlandese del 1988 (Data Protection Act 1988), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.

Tale violazione si sarebbe verificata sia in relazione al suo account Facebook privato sia riguardo agli account di altri sette utilizzatori, parimenti consumatori, residenti in Austria, Germania e India, che gli hanno ceduto i loro diritti derivanti dal contratto sottoscritto con Facebook affinchè li facesse valere in giudizio insieme ai propri. Così facendo, la causa sarebbe stata loro comune e la conseguente decisione avrebbe inciso anche nella loro sfera individuale.

Il Sig. Schrems desidera, in particolare, che la giustizia austriaca dichiari invalide alcune clausole contrattuali e condanni Facebook, da un lato, a cessare l’uso dei dati controversi per fini propri e per fini di terzi e, d’altro lato, a risarcire i danni prodotti. A tale scopo propone azione davanti al Tribunale del Land di Vienna ritenendo che tale giudice disponga della competenza internazionale in quanto foro del consumatore ai sensi dell’art. 16, paragrafo 1, del Regolamento n. 44/2001.

Facebook Ireland solleva, invece, l’eccezione di difetto di competenza internazionale.

Il Tribunale del Land di Vienna respinge il ricorso di Schrems, in quanto questi, utilizzando Facebook anche a fini professionali, non poteva invocare il foro del consumatore. Secondo tale giudice, il foro privato del cedente non diviene quello del cessionario.

Contro l’ordinanza di primo grado Schrems propone appello davanti al Tribunale Superiore del Land di Vienna. Quest’ultimo accoglie le pretese connesse al contratto stipulato personalmente tra il ricorrente e la parte resistente nel procedimento principale. Respinge, invece, il ricorso, nei limiti in cui riguardava i diritti ceduti, perché il foro del consumatore è riservato al ricorrente nel procedimento principale quando fa valere pretese che gli sono proprie, per cui Schrems non poteva ottenere l’applicazione dell’art. 16, paragrafo 1, seconda ipotesi, del Regolamento n. 44/2001 quando ha fatto valere diritti che gli erano stati ceduti. Quanto al resto il Tribunale Superiore respinge le eccezioni processuali sollevate da Facebook Ireland.

Entrambe le parti hanno proposto ricorso per Revision avverso tale decisione davanti alla Corte Suprema, Austria.

Tale Corte osserva che, se il ricorrente fosse qualificato come “consumatore”, la procedura dovrebbe essere avviata a Vienna. Lo stesso varrebbe per il procedimento relativo ai diritti di consumatori che abitano a Vienna. Qualora tale procedura mirasse, invece, a far valere contro la resistente nel procedimento principale anche altri diritti ceduti questo non rappresenterebbe per essa un onere aggiuntivo significativo.

La Corte ritiene che, alla luce della sua giurisprudenza, non sia possibile determinare con la dovuta certezza in che limiti un consumatore che si fa cedere diritti da altri consumatori, al fine di farli valere collettivamente, possa invocare il foro del consumatore.

Di conseguenza, la Corte Suprema austriaca ha disposto la sospensione del procedimento e ha sottoposto alla Corte di giustizia UE le questioni pregiudiziali relative all’interpretazione degli artt. 15 e 16 del Regolamento n. 44/2001. In particolare, i quesiti vertevano sulla perdita dello status di consumatore nel caso di uso “professionale” di un social network, ai fini dell’applicazione del Regolamento n. 44/2001 e la possibilità per un consumatore di far valere davanti al giudice interno, oltre ai propri diritti “derivanti da un contratto avente natura di contratto concluso da un consumatore”, anche diritti di altri consumatori a questo ceduti senza finalità commerciali o professionali.

Per quanto riguarda l’esatta interpretazione dell’art. 15 del Regolamento la CGUE afferma che l’utilizzatore di un account Facebook privato non perde la qualità di “consumatore” ai sensi di tale articolo, anche quando, come ha fatto il Sig. Schrems pubblichi libri, tenga conferenze, gestisca siti internet, raccolga donazioni e si faccia cedere i diritti da numerosi consumatori al fine di farli valere in giudizio.

La Corte ha precisato che la nozione di “consumatore” deve essere interpretata in maniera restrittiva, facendo riferimento alla posizione di tale persona in un determinato contratto, in relazione alla natura e alla finalità di quest’ultimo e non, invece, alla situazione soggettiva di quella stessa persona, potendo un solo e medesimo soggetto essere considerato un consumatore nell’ambito di determinate operazioni ed un operatore economico nell’ambito di altre.

Nel caso dell’utente Facebook, secondo la Corte europea, questi assume la qualità di consumatore se ha usufruito dei servizi della rete digitale in maniera non professionale, a meno che il  “contratto” originariamente concluso non abbia acquisito in seguito un carattere professionale.

Tuttavia, poiché la nozione di “consumatore” si definisce per opposizione a quella di operatore economico e prescinde dalle conoscenze o dalle informazioni di cui una persona realmente dispone, né le competenze che l’interessato possa acquisire nel settore nel cui ambito rientrano tali servizi, né il suo impegno ai fini della rappresentanza dei diritti e degli interessi degli utilizzatori di tali servizi lo privano della qualità di “consumatore” ai sensi dell’ art. 15 del Regolamento n. 44/2001. Un’interpretazione della nozione che escludesse tali attività si risolverebbe, infatti, nell’impedire una tutela effettiva dei diritti di cui i consumatori dispongono nei confronti delle loro controparti professionali, compresi quelli relativi alla protezione dei loro dati personali e ciò contrasterebbe con l’obiettivo fissato dall’art. 169, paragrafo 1, TFUE di promuovere il loro diritto all’organizzazione per la salvaguardia dei propri interessi.

Quanto all’interpretazione dell’art. 16, paragrafo 1, del Regolamento n. 44/2001( ai sensi del quale L’azione del consumatore contro l’altra parte del contratto può essere proposta o davanti ai giudici dello Stato membro nel cui territorio è domiciliata tale parte o davanti ai giudici del luogo in cui è domiciliato il consumatore” ) la Corte UE chiarisce che tale norma non si applicherà all’azione di un consumatore diretta a far valere, davanti al giudice del luogo in cui questi è domiciliato, non solo diritti propri, ma anche diritti ceduti da altri consumatori benchè domiciliati nello stesso Stato membro, in altri Stati membri oppure in Stati terzi.

Le norme in materia di competenza previste dal Regolamento stesso, infatti, vanno interpretate restrittivamente poiché derogano sia alla regola generale fissata dall’art. 2, paragrafo 1, del Regolamento, che attribuisce la competenza ai giudici dello Stato membro nel territorio nel quale il convenuto è domiciliato, sia alla regola di competenza speciale in materia di contratti dettata dall’art. 5, punto 1, dello stesso Regolamento, secondo cui il giudice competente è quello del luogo in cui è stata o deve essere eseguita l’obbligazione dedotta in giudizio.

La normativa particolare istituita dagli artt. 15 e seguenti del Regolamento n. 44/2001 è ispirata dalla preoccupazione di proteggere il consumatore in quanto parte contraente considerata, “sul piano giuridico, economicamente più debole e meno esperta” della sua controparte contrattuale, da tutelare, quindi, se personalmente coinvolto come attore o convenuto in un giudizio.

L’attore che non sia esso stesso parte del contratto di consumo di cui trattasi non può, quindi, beneficiare del foro del consumatore cessionario di diritti di altri consumatori. La speciale disciplina sulla competenza, art. 16, paragrafo 1, del Regolamento, infatti, si applica soltanto all’azione esperita dal consumatore contro l’altra parte del contratto, il che presuppone necessariamente la conclusione di un contratto tra questi ed il professionista in questione. Infine, chiarisce la Corte di giustizia UE, diversamente da quanto stabilito dagli organi austriaci, la circostanza che il cessionario consumatore possa, in ogni caso, proporre, davanti al giudice del luogo del proprio domicilio, un’azione fondata su diritti che ricava personalmente da un contratto concluso con il convenuto, analoghi a quelli che gli sono stati ceduti, non è atta far rientrare anche quest’ultimi diritti nella competenza di tale giudice poiché, una cessione di crediti non può, di per sé, incidere sulla determinazione del giudice competente.

In sostanza, una cessione come quella di cui al procedimento principale non può essere il fondamento per un nuovo foro specifico per il consumatore cessionario.

L’aver stabilito che la cessione di diritti, svincolati dal contratto, non permetta ai rappresentati di mantenere lo status di consumatori, non potendo quindi valersi delle stesse prerogative favorevoli, in termini di competenza, spettanti, invece, al Sig. Schrems, il quale potrà perorare la sua causa in veste di consumatore, difendendo esclusivamente i suoi diritti e non anche quelli cedenti, non lascia i sette utenti Facebook privi di tutela. Essi, infatti, potranno in ogni caso far valere i propri diritti, in qualità di consumatori, attraverso un’azione individuale presso il foro del loro domicilio e non presso quello del Sig. Schrems.

La sentenza della Corte di giustizia dell’Unione europea in commento si collega alla vicenda di attualità che vede coinvolti il social network Facebook e la società Cambridge Analytica in ordine all’uso improprio di dati personali di oltre 50 milioni di utenti.

La Cambridge Analytica, società inglese di analisi di “big data”, è accusata di aver rubato 50 milioni di profili Facebook e di aver usato queste informazioni riservate per influenzare elezioni dall’America all’Europa, da Trump alla Brexit ed oltre.

E’ stata un’inchiesta dell’Observer e del New York Times a rivelare che tale società avrebbe sfruttato Facebook per raccogliere i profili di milioni di persone. Verso la fine del 2015 Facebook aveva scoperto che i suoi dati erano stati trafugati in massa, non aveva avvertito i propri utenti ed aveva messo in atto solo misure limitate per recuperare e proteggere le informazioni personali di oltre 50 milioni di individui.

La Cambridge Analytica era già stata messa sotto inchiesta anche in Gran Bretagna per la parte che ha svolto nel referendum sulla Brexit a favore dell’uscita dall’Unione europea. La homepage di Cambridge Analytica dichiara: “Usiamo dati per cambiare il comportamento dell’audience”.

E’ di poche ore fa una dichiarazione di Zuckerberg dove si dichiara responsabile per quello che è successo in quanto non essendo riuscito a proteggere i dati personali di molti utenti ha tradito la fiducia degli stessi.

Negli Stati Uniti è scattata la prima class action contro Facebook e la Cambridge Analytica. L’azione legale è stata avanzata presso la Corte distrettuale di San Josè, in California e potrebbe aprire la strada a molte altre cause collettive per la richiesta  di risarcimento per i danni provocati dalla mancata protezione dei dati personali. Dati raccolti senza alcuna autorizzazione che sarebbero stati utilizzati per avvantaggiare la campagna elettorale del Presidente Donald Trump.

Pare, inoltre, che un numero non dichiarato di azionisti Facebook (coloro che hanno acquistato azioni tra febbraio 2017 e marzo 2018) abbia depositato una citazione presso il Tribunale federale di San Francisco. L’azione giudiziaria si baserebbe sul pregiudizio che gli azionisti avrebbero subito a causa delle informazioni materialmente false e fuorvianti fornite da Facebook che avrebbe omesso di informare sulla possibilità di accesso di “terze parti” ai dati personali di milioni di utenti.

Questo avrebbe causato loro danni economici a causa della precipitosa perdita di valore delle azioni Facebook in Borsa.

Per quanto riguarda l’Italia, il Codacons (associazione di tutela dei consumatori) ha fatto sapere che se saranno accertate condotte illecite circa l’uso dei dati sensibili degli utenti Facebook, la loro profilazione a fini politici e l’avvio di campagne di comunicazione a carattere elettorale, la loro sarà la prima organizzazione italiana a depositare una class action contro Facebook.

La vicenda, in evoluzione, ripropone, comunque, la necessità di rafforzare la tutela dei dati personali riguardanti milioni di individui.

Avv. Aloi Teresa, Foro di Catanzaro

[1] CGUE 6 ottobre 2015, C-362/14: La Corte europea dichiara che “vista la sorveglianza indiscriminata, i nostri dati personali in mano agli americani non sono protetti, per cui i giganti del web non possono trasferirli in automatico negli Stati Uniti”. In particolare, la Corte ha dichiarato il Safe Harbor non valido e ha aggiunto che “l’Authority irlandese deve valutare, secondo i diritti fondamentali degli europei, se far sospendere a Facebook il flusso di dati degli utenti europei nei server degli Stati Uniti perché nel Paese non è garantito un adeguato livello di protezione dei dati personali”.

Fonte: www.curia.europa.eu