Cosa succede se un sito internet registrato in un altro Stato Ue tratta i miei dati e li trasmette, illecitamente, a terze parti – magari a società di recupero crediti?
È successo agli utenti ungheresi di un sito di annunci immobiliari gestito dalla società slovacca Weltimmo: le inserzioni sul sito dovevano essere gratuite per il primo mese per poi diventare a pagamento. Ma, quando allo scadere del primo mese, molti inserzionisti hanno chiesto via mail l’eliminazione dei propri annunci e la cancellazione dei propri dati personali, la Weltimmo non ha cancellato i dati e ha, anzi, fatturato i servizi ai malcapitati. A fronte del mancato pagamento delle somme fatturate, quindi la società ha pensato bene di trasmettere i dati personali degli inserzionisti ad alcune agenzie di recupero crediti.
A quel punto, gli inserzionisti hanno sporto reclamo all’autorità ungherese incaricata della tutela dei dati, che ha comminato alla Weltimmo una multa di dieci milioni di fiorini (circa 32 000 euro) per aver violato la legge ungherese di attuazione della direttiva.
Ma l’Autorità ungherese può applicare la legge ungherese adottata sulla base della direttiva europea sulla tutela dei dati personali e imporre l’ammenda?
Secondo la Weltimmo, no. Il caso è finito quindi alla Corte di Giustizia europea, secondo cui “la normativa di uno Stato membro sulla tutela dei dati può essere applicata a una società straniera che svolge, in tale Stato, tramite un’organizzazione stabile, un’attività reale ed effettiva”.
Nella fattispecie, era evidente, secondo la Corte, che la Weltimmo svolgesse un’attività reale ed effettiva in Ungheria e che avesse un rappresentante in quel paese, il quale ha cercato di negoziare con gli inserzionisti il pagamento dei crediti insoluti e ha rappresentato la società nel corso dei procedimenti amministrativo e giudiziario.
La presenza della Weltimmo in Ungheria è comprovata anche dall’apertura, da parte della società, di un conto bancario destinato al recupero dei crediti e di una casella postale per la gestione degli affari correnti.
“Tali elementi, che spetta al giudice del rinvio di verificare, possono configurare l’esistenza di uno «stabilimento», ai sensi della direttiva, nel territorio ungherese. Se così è, l’attività della Weltimmo è soggetta alla normativa ungherese in materia di tutela dei dati”, spiega la Corte Ue, sottolineando altresì che “…ogni autorità garante della protezione dei dati personali dispone, nel suo territorio, di poteri investigativi e d’intervento, indipendentemente dalla legge nazionale applicabile alla singola fattispecie in considerazione. Inoltre, ciascuna autorità garante può essere invitata ad esercitare i propri poteri su domanda dell’omologa autorità di altro Stato membro”.
La presenza, in uno Stato, di un unico rappresentante, può in talune circostanze “essere sufficiente a costituire uno «stabilimento» se tale rappresentante opera con un grado di continuità sufficiente a fornire i servizi dell’impresa in quel certo Stato. Inoltre, la nozione di «stabilimento» si estende a qualsiasi attività reale ed effettiva, anche minima, esercitata tramite un’organizzazione a carattere permanente”, dice ancora la Corte, sottolineando però che spetterà al giudice del rinvio stabilire “che la Weltimmo non dispone di uno «stabilimento», ai sensi della direttiva, nel territorio ungherese e che il diritto applicabile al trattamento di cui è causa è perciò quello di un altro Stato membro, l’autorità ungherese di controllo non potrebbe esercitare i poteri sanzionatori attribuitile dal diritto ungherese”.
In virtù dell’obbligo di collaborazione previsto dalla direttiva, tale autorità deve comunque chiedere all’autorità di controllo dell’altro Stato membro interessato di accertare un’eventuale violazione del diritto di tale Stato e di imporre le eventuali sanzioni da esso previste.
Tuttavia, conclude la Corte, “nel caso si applichi il diritto di un altro Stato membro, i poteri d’intervento dell’autorità di controllo devono essere esercitati nel rispetto, in particolare, della sovranità territoriale degli altri Stati membri, cosicché un’autorità nazionale non può imporre sanzioni al di fuori del territorio del suo Stato”.