Bruxelles – Può il gestore di un sito internet raccogliere e impiegare i dati personali dei visitatori? Secondo la Corte di giustizia dell’Unione europea sì e, in particolare, “il gestore di un sito internet può avere un interesse legittimo a conservare determinati dati personali dei visitatori per difendersi dagli attacchi cibernetici”, oltre che rendere possibili le azioni penali.
Ogni volta che un utente entra in un sito internet lascia tracce di sé. Oltre alla data e all’ora della consultazione, i gestori hanno la possibilità di registrare e conservare gli indirizzi ip. Nello specifico, la sentenza stabilisce che per il gestore di un sito internet sono dati personali, e quindi godono di una certa tutela, oltre agli indirizzi ip (indirizzi di protocollo internet) statici, anche gli indirizzi ip dinamici, cioè quelli che cambiano a ogni nuova connessione a internet.
A differenza degli indirizzi ip statici, gli indirizzi ip dinamici non consentono di associare, attraverso file accessibili al pubblico, un certo computer al collegamento fisico alla rete utilizzato dal fornitore di accesso a Internet. Questo significa che solo il fornitore di accesso a internet dell’utente ha le informazioni necessarie ad identificarlo. La Corte specifica che “un indirizzo ip dinamico registrato da un fornitore costituisce, nei confronti del gestore, un dato personale, qualora esso disponga di mezzi giuridici che gli consentano di far identificare il visitatore grazie alle informazioni aggiuntive di cui il fornitore di accesso a Internet di quest’ultimo dispone”.
La Corte con sede a Lussemburgo ha risposto a un interrogativo postogli dalla Corte generale tedesca la quale, a sua volta, era stata chiamata a rispondere al caso di un cittadino tedesco, Patrick Breyer, che si era opposto alla registrazione e alla conservazione dei suoi indirizzi ip, da parte dei siti Internet dei servizi federali tedeschi da lui consultati.
Secondo la maggior parte della normativa tedesca in materia di trattamento dei dati personali, “i dati devono essere cancellati alla fine della sessione di consultazione, a meno che non siano richiesti a fini di fatturazione”, ricorda la Corte. La normativa tedesca stabilisce che, “in mancanza di consenso del visitatore, un fornitore di servizi di media online può raccogliere e impiegare i dati personali del visitatore solo nella misura in cui ciò sia necessario per consentire l’effettiva fruizione dei servizi da parte di detto visitatore e di fatturarla, senza che l’obiettivo di assicurare il funzionamento generale dei servizi medesimi possa giustificare l’impiego di tali dati dopo una sessione di consultazione degli stessi”.
Il diritto dell’Unione tutela il trattamento di dati personali, sostenendo che “è lecito se necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del terzo o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata”.
Richiamando il caso del cittadino tedesco, la Corte sottolinea “che i servizi federali tedeschi che forniscono servizi di media online potrebbero avere un interesse legittimo a garantire, al di là di ciascuna effettiva fruizione dei loro siti Internet accessibili al pubblico, la continuità del funzionamento dei loro siti”.
