Quando ricorre la class action per la tutela della privacy?

L'art. 80 Regolamento (UE) 679/2016 (GDPR) prevede espressamente che l'interessato possa conferire mandato “a un organismo, un'organizzazione o un'associazione senza scopo di lucro, che siano debitamente costituiti secondo il diritto di uno Stato membro, i cui obiettivi statutari siano di pubblico interesse e che siano attivi nel settore della protezione dei diritti e delle libertà degli interessati con riguardo alla protezione dei dati personali” di proporre per suo conto reclamo all'autorità di controllo ovvero ricorso giurisdizionale, tanto nei confronti dell'autorità di controllo quanto in quelli del titolare del trattamento o del responsabile del trattamento, nonché di ottenere il diritto al risarcimento (ove previsto dalle normative nazionali).

Viene rimessa alla previsione degli Stati membri la possibilità che un tale organismo, organizzazione o associazione possa proporre reclamo ovvero ricorso giurisdizionale anche indipendentemente dal mandato conferito dall'interessato, qualora ritenga che i diritti di cui quest'ultimo gode siano stati violati in seguito al trattamento.

Va osservato, da una parte, che la norma in esame non ha finora trovato espressa regolazione in Italia; dall'altra, che a seguito della riforma della class action operata dalla l. 31/2019, l'art. 840-bis c.p.c. prevede, per la tutela di diritti individuali omogenei, la possibilità di agire nei confronti dell'autore della condotta lesiva per l'accertamento della responsabilità e per la condanna al risarcimento del danno e alle restituzioni in capo delle organizzazioni o le associazioni che presentino i seguenti requisiti: a) senza scopo di lucro; b) i cui obiettivi statutari comprendano la tutela dei diritti degli interessati; c) iscritte in un elenco pubblico istituito presso il Ministero della giustizia.

La Corte di Giustizia UE, sentenza 28 aprile 2022 resa in sede di domanda pregiudiziale nella causa C-319/20 (Facebook Irlanda, oggi Meta Platforms, contro l'Unione federale tedesca delle centrali e delle associazioni di consumatori), ha statuito che l'art. 80, par. 2, GDPR “non osta ad una normativa nazionale che consente ad un'associazione di tutela degli interessi dei consumatori di agire in giudizio, in assenza di un mandato che le sia stato conferito a tale scopo e indipendentemente dalla violazione di specifici diritti degli interessati, contro il presunto autore di un atto pregiudizievole per la protezione dei dati personali”.

Tale pronuncia potrebbe consentire una possibile applicazione dell'art. 80, par. 2, GDPR.

Infine, la Direttiva (UE) 1828/2020 – attuata con il d.lgs. 28/2023, in vigore del 7 aprile 2023 – estende la facoltà di alcuni enti e associazioni a tutelare interessi collettivi dei consumatori, proponendo anche azioni rappresentative transfrontaliere.