| demo | 2026-01-05 · NEW:  Appunta · Stampa · Cita: 'Doc 100771' · pdf |
|
abstract:
Documento annotato il 05.01.2026
Fonte: europa.eu
Link: https://curia.europa.eu/juris/showPdf.jsf?text=&do
Link: https://curia.europa.eu/juris/showPdf.jsf?text=&do
analisi:
L'analisi è riservata agli iscritti. Segui la newsletter dell'Osservatorio oppure il Podcast iscrizione gratuita 30 giorni
-
index:
testo:
Eestimated reading time: 30 min Sintesi C-730/25 – 1
Causa C -730/25 *
Sintesi della domand ...
della domanda di pronuncia pregiudiziale ai sensi dell’articolo 98,
paragrafo 1, del regolamento di procedura della Corte di giustizia
Data di deposito:
17 novembre 2025
Giudice del rinvio:
Lietuvos vyriausiasis administracinis teismas (Lituania)
Data della decisione di rinvio:
12 novembre 2025
Ricorrente in primo grado e in appello:
Vinted UAB
Resistente in primo grado e in appello:
Valstybinė duomenų apsaugos inspekcija (Ispettorato nazionale per
la protezione dei dati)
Intervenienti:
C.B.M.
A.L.
A.L.
Oggetto del procedimento principale
Ricorso in appello con cui la società a responsabilità limitata Vinted (in prosieguo,
anche: la «ricorrente» o la «Vinted UAB») chiede l’annullamento della sentenza
pronunciata dal giudice di primo grado il 22 maggio 2025 in un procedimento
amministrativo pilota relativo alle decisioni dell’Ispettorato nazionale per la
protezione dei dati (in prosieguo: l’«Ispettorato» o il «resistente») in cui sono state
accertate violazioni del regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con
riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali
* Lingua processuale: il lituano.
IT
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
2
dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei
dati) (in prosieguo: il «RGPD»), e l’adozione di una nuova decisione.
Oggetto della domanda di pronuncia pregiudiziale
La presente domanda di pronuncia pregiudiziale verte sull’interpretazione delle
disposizioni dell’articolo 5, paragrafo 1, lettera a), e paragrafo 2, dell’articolo 6,
paragrafo 1, lettera f), dell’articolo 12, paragrafi 1 e 4, dell’articolo 13, paragrafo
1, lettera d), dell’articolo 14, paragrafo 3, lettera a), dell’articolo 14, paragrafo 5,
in generale, e dell’articolo 14, paragrafo 5, lettera b), in particolare, dell’articolo
24, dell’articolo 55, paragrafo 1, dell’articolo 56, paragrafo 1, dell’articolo 57,
paragrafo 1, in generale, e della lettera f), in particolare, nonché dell’articolo 58,
paragrafi 1 e 2, e dell’articolo 60 del RGPD.
Questioni pregiudiziali
1. Se le disposizioni dell’articolo 55, paragrafo 1, dell’articolo 56, paragrafo 1,
dell’articolo 57, paragrafo 1, dell’articolo 58, paragrafi 1 e 2, e dell’articolo 60 del
RGPD debbano essere interpretate nel senso che ostano a una prassi di uno Stato
membro in base alla quale l’autorità di controllo non può più pronunciarsi su un
reclamo avente ad oggetto il trattamento transfrontaliero dei dati e/o imporre le
misure correttive di cui all’articolo 58, paragrafo 2, del RGPD per il solo motivo
che è scaduto il termine di prescrizione di due anni previsto dal diritto nazionale
per l’irrogazione di una sanzione amministrativa pecuniaria.
2. Se l’articolo 57, paragrafo 1, lettera f), e l’articolo 58, paragrafi 1 e 2, del
RGPD debbano essere interpretati nel senso che, nell’esaminare un reclamo
presentato da un interessato in relazione a una specifica violazione indicata nello
stesso reclamo , un’autorità di controllo può (o deve) adottare una decisione in
merito ad altre violazioni del RGPD relative allo stesso trattamento di dati che
sono state scoperte durante l’indagine sul reclamo, oppure nel senso che essa deve
limitarsi all’oggetto del reclamo.
3. Se l’articolo 57, paragrafo 1, lettera f), del RGPD debba essere interpretato
nel senso che l’autorità di controllo, quando riceve un reclamo da un interessato, è
tenuta a definire chiaramente l’ambito dell’indagine e a specificare al ........ ...
trattamento le informazioni precise ad esso richieste al fine di garantire che il
reclamo sia oggetto di un’indagine adeguata.
4. Se l’articolo 5, paragrafo 2, e l’articolo 24 del RGPD debbano essere
interpretati nel senso che, conformemente al principio di responsabilità, il ........
del trattamento è tenuto a conservare tutti i dati disponibili relativi all’interessato
che ha presentato il reclamo per l’intero periodo dell’indagine sullo stesso , anche
se tali dati non sono direttamente correlati all’oggetto del reclamo su cui vertono
le indagini da parte dell’autorità di controllo, e tale conservazione è compatibile
con il princi pio di min imizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera
VINTED
3
c), del RGPD e con il principio di limitazione della conservazione di cui alla
lettera e) dello stesso.
5. Se l’articolo 5, paragrafo 1, lettera a), e l’articolo 12, paragrafi 1 e 4, del
RGPD debbano essere interpretati nel senso che, qualora un interessato presenti
una richiesta generica di cancellazione dei propri .... ......... .. .....
dell’articolo 17 del RGPD , senza indicarne i motivi, il ........ ... ........... ..ò
rifiutarsi di cancellare i dati e non è tenuto a informare l’interessato di aver
valutato, di propria iniziativa, se sussista almeno uno dei motivi di cancellazione
di cui all’articolo 17, paragrafo 1, del RGPD. Inoltre, in caso di rifiuto di
cancellare i .... ......... ..... .... .. ... ......... .. ..... ....’........ .. ...
RGPD, se il principio di trasparenza sancito dall’articolo 5, paragrafo 1, lettera a),
e dall’articolo 12, paragrafo 1, del RGPD, in combinato disposto con l’articolo 12,
paragrafo 4, debba essere interpretato nel senso che impone al ........ ...
trattamento di fornire all’interessato informazioni su tutti i motivi per cui i dati
personali saranno trattati, comprese le finalità delle restanti operazioni di
trattamento, le categorie di dati, le operazioni di trattamento e la base giuridica .
6. Se l’articolo 5, paragrafo 1, lettera a), l’articolo 6, paragrafo 1, lettera f),
l’articolo 13, paragrafo 1, lettera d), l’articolo 14, paragrafo 3, lettera a), e
l’articolo 14, paragrafo 5, del RGPD debbano essere interpretati nel senso che
l’obbligo del ........ ... ........... .. ....... ...’........... ............ ........
al trattamento dei .... ......... .......... .. ......... ... . ...... .......
(restrizione della visibilità ) si considera adempiuto e conforme al principio di
trasparenza qualora il ........ ... ........... ........ ..... ... ........... .....
privacy che la restrizione sarà applicata in caso di violazione delle regole della
piattaforma (senza specificare i possibili tipi di restrizioni, compreso lo shadow
banning ) e che i .... ......... (........ .. ...... ..... ..........., .. ...... . .
dati del profilo) saranno trattati sulla base del ......... ......... .. .......... .
garantire la sicurezza della piattaforma, dei suoi utenti e dei suoi membri, sebbene
l’interessato non sia inf ormato individualmente del trattamento dei .... .........
effettuato in relazione allo shadow banning né all’inizio di tale trattamento né in
seguito, ma solo dopo il termine del periodo di restrizione della visibilità (non
superiore a 30 giorni) e l’applicazione di una restrizione completa, all’interessato
vengono fornite informazioni relative al trattamento dei .... ......... . .....
della restrizione (restrizione completa, non shadow banning). In caso di risposta
negativa a quest’ultima domanda, se l’art icolo 14, paragrafo 5, lettera b), del
RGPD debba essere interpretato nel senso che il ........ ... ........... ..ò
avvalersi dell a deroga all’obbligo di informazione prevista da tale disposizione,
qualora il trattamento sia effettuato ai fini dello shadow banning.
7. Se l’articolo 5, paragrafo 1, lettera a), e l’articolo 6, paragrafo 1, lettera f),
del RGPD debbano essere interpretati nel senso che le azioni di un ........ ...
trattamento che tratta i .... ......... .. .. ...... .. .... ..... ...... .......
senza informare l’interessato di tale trattamento, ma con l’obiettivo di proteggere
la piattaforma, i suoi utenti e i suoi membri, possono essere considerate conformi
ai requisiti di liceità previsti dal RGPD.
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
4
Disposizioni di legge fatte valere
Diritto nazionale
Articolo 1, paragrafi 3 e 5, articolo 7, paragrafi 1 e 2, articolo 11, paragrafo 1,
articolo 12, paragrafo 1, articolo 23, paragrafi 1 e 2, articolo 30, paragrafo 2,
articolo 31, paragrafi 1 e 2, e articolo 32, paragrafo 3, del Lietuvos Respublikos
asmens duomenų teisinės apsaugos įstatymas (legge della Repubblica di Lituania
sulla protezione giuridica dei dati personali) (in prosieguo: il «LLPPD»).
Paragrafi 1, 2, 34 e 37 della Descrizione della procedura per l’esame dei reclami
da parte dell’Ispettorato nazionale per la protezione dei dati, approvata con
decreto n. 1T -20(1.12.E) del Direttore dell’Ispettorato nazionale per la protezione
dei dati del 2 marzo 2021 (versione in vigore dal 3 marzo 2021 al 3 febbraio 2024)
e paragrafi 1 e 34 della versione in vigore dal 3 marzo 2024 al 1º luglio 2024.
Paragrafi 5 e 48 della Descrizione della procedura per l’irrogazione di sanzioni
amministrative pecuniarie per violazioni della legislazione in materia di
protezione dei dati personali, approvata con decreto n. 1T -154 (1.12.E) del
direttore dell’Ispettorato del 30 settembre 2019.
Diritto dell’Unione
Articolo 5, articolo 6, paragrafo 1, articolo 12, articolo 13, articolo 14, articolo 17,
articolo 24, paragrafo 1, articolo 55, paragrafo 1, articolo 56, paragrafo 1, articolo
57, paragrafo 1, lettera f), articolo 58, paragrafi 1 e 2, e articolo 60 del RGPD.
Linee -guida 02/2022 sull’applicazione dell’articolo 60 del regolamento generale
sulla protezione dei dati (in prosieguo: le «linee -guida sulla cooperazione»),
adottate dal Comitato europeo per la protezione dei dati (in prosieguo: l’«EDPB»)
il 14 marzo 2022.
EDPB, Gruppo di lavoro articolo 29 – Linee -guida sulla trasparenza ai sensi del
regolamento 2016/679 (in prosieguo: le «linee -guida sulla trasparenza»).
Parere 39/2021 sulla possibilità che l’articolo 58, paragrafo 2, lettera g), del
regolamento generale sulla protezione dei dati possa costituire una base giuridica
per consentire a un’autorità di controllo di ordinare d’ufficio la cancellazione dei
dati personali, in una situazione in cui tale richiesta non sia stata presentata
dall’interessato (in prosieguo: il «parere 39/2021»).
VINTED
5
Giurisprudenza richiamata
Giurisprudenza dell’Unione
Sentenza della Corte del 9 marzo 1978, Amministrazione delle finanze dello
Stato/Simmenthal, 106/77, EU:C:1978: 49 .
Sentenza della Corte del 27 maggio 1993, Johannes Peter/Hauptzollamt
Regensburg, C -290/91, EU:C:1993:220.
Sentenza della Corte del 16 luglio 2020, Facebook Ireland e Schrems, C -311/18;
ECLI:EU:C:2020:559.
Sentenza della Corte del 21 gennaio 2021, Whiteland Import Export, C -308/19,
ECLI:EU:C:2021:47.
Sentenza della Corte del 15 giugno 2021, Facebook Ireland e a., C -645/19;
ECLI:EU:C:2021:483 .
Sentenza della Corte del 7 dicembre 2023, SCHUFA Holding (Esdebitazione),
C-26/22 e C -64/22, EU:C:2023:958.
Sentenza della Corte del 26 settembre 2024, Land Hessen ( Obbligo di agire
dell’autorità per la protezione dei dati ), C -768/21, EU:C:2024:785.
Sentenza della Corte del 28 novembre 2024, Másdi, C -169/23, EU:C:2024:988.
Sentenza della Corte del 30 aprile 2025, Inspektorat kam Visshia sadeben savet,
C-313/23, C -316/23 e C -332/23, EU:C:2025:303.
Breve illustrazione dei fatti e del procedimento principale
1 La società Vinted UAB, che gestisce un mercato online dove gli utenti possono
acquistare e vendere beni (in prosieguo: la «piattaforma»), tratta i .... .........
degli utenti.
2 La situazione oggetto del procedimento principale è sorta a seguito dei reclami
presentati da tre persone interessate francesi, C.B.M., A.L. e A.L., i cui account
sulla piattaforma erano stati bloccati. I suddetti hanno contattato la Vinted UAB
chiedendo spiegazioni in merito al blocco dei loro account e alla cancellazione dei
loro dati personali, poiché non vedevano alcuna utilità nel conservarli sulla
piattaforma.
3 La Vinted UAB ha fornito a ciascuno di tali interessati risposte simili, affermando
che: 1) le richieste non facevano specifico riferimento a nessuno dei motivi
indicati all’articolo 17 del RGPD; 2) gli account erano stati bloccati a causa di una
violazione delle condizioni d’uso della Vinted UAB; 3) la Vinted UAB ha il
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
6
diritto di trattare i .... ......... .. .... .. ........ . ...... ......... ......... . ..
conservare i dati degli utenti banditi al fine di proteggere la propria piattaforma e
gli utenti esistenti dagli utenti che violano tali condizioni d’uso; 4) un reclamo
relativo a una possibile violazione del RGPD può essere presentato all’autorità di
controllo dello Stato membro di residenza e può anche essere formulato avviando
un procedimento legale.
4 Poiché le risposte fornite dalla Vinted UAB non hanno soddisfatto gli interessati,
essi hanno presentato reclamo all’autorità di controllo francese per la protezione
dei dati. Tale autorità ha inoltrato i reclami all’Ispettorato, che svolge i compiti, e
dispone dei poteri, di un’autorità di controllo, come stabilito dal RGPD.
5 L’Ispettorato ha contattato la Vinted UAB richiedendo alcune informazioni
relative ai reclami di C.B.M., A.L. e A.L.
6 In risposta alle richieste dell’Ispettorato, la Vinted UAB ha fornito le seguenti
spiegazioni:
a) per quanto riguarda C.B.M. , la quale il 29 gennaio 2021 ha presentato alla
Vinted UAB richiesta di cancellazione del suo account bloccato , la
ricorrente ha affermato che tale account era stato bloccato a causa di
violazioni delle condizioni d’uso di cui sopra (che non sono state
specificate), che la cancellazione dei .... ......... ... ... ......... ...
motivi di sicurezza e prevenzione degli abusi, anche al fine di consentire alla
Vinted UAB di avanzare richieste di eventuali pagamenti o rimborsi,
difen dersi da eventuali azioni legali e garantire la stabilità operativa della
piattaforma. Inoltre, la Vinted UAB ha sostenuto che la richiesta di C.B.M.
di cancellare i dati non soddisfaceva le condizioni di cui all’articolo 17 del
RGPD e che il suo account era stato sottoposto a shadow ban ning
(restrizione della visibilità) , il che significa che l’account rimaneva
tecnicamente attivo, ma la sua attività era limitata e invisibile agli altri utenti
della piattaforma (gli utenti della piattaforma non vengono informati di tale
restrizione e dopo 30 giorni sono sottoposti a una restrizione totale, del la
quale vengono poi informati).
b) per quanto riguarda A.L. , il quale il 24 febbraio 2021 ha presentato alla
Vinted UAB la richiesta di cancellare tutti i .... ......... . ....... ..
possesso della società e di indicare se nei file della società fossero presenti
informazioni che lo riguardavano, la Vinted UAB ha affermato di avere un
interesse legittimo al trattamento dei dati di A.L. quando il suo account è
stato bloccato a causa di violazioni delle condizioni d’uso, che la
conservazione dei dati era necessaria per proteggere la piattaf orma e i suoi
utenti da abusi, nonché in relazione a potenziali controversie su pagament i, e
che prevedeva di cancellare i suoi dati il 22 gennaio 2022. Successivamente,
la Vinted UAB ha informato l’Ispettorato che, a seguito della cancellazione
dell’account dell’interessato A.L., anche la sua corrispondenza con il team
VINTED
7
del servizio clienti della Vinted UAB era stata cancellata, rendendo
impossibile per quest’ultima fornire le informazioni richieste.
c) per quanto riguarda A.L ., la quale il 6 agosto 2021 ha presentato alla Vinted
UAB domanda di cancellazione del suo account bloccato e dei relativi dati
personali, la ricorrente ha affermato che l’account e la maggior parte dei dati
personali correlati erano stati cancellati automaticamente il 5 febbraio 2022,
in conformità con i periodi di conservazione dei dati in vigore all’epoca.
Pertanto, la Vinted UAB non era più in grado di confermare quali azioni
specifiche fossero state intraprese in quel moment o, né di fornire prove circa
l’adempimento della richiesta di cancellazione dei dati presentata da A.L. e
le modalità di trattamento della stessa. La Vinted UAB ha inoltre dichiarato
che, in quel momento, in conformità con l’articolo 6, paragrafo 1, lettera c),
del RGPD, stava ancora trattando alcuni dati di A.L. a fini di contabilità
finanziaria e che tali dati potevano essere stati trattati anche per altri scopi,
quali garantire la sicurezza della piattaforma e degli utenti, controllare gli
accessi agli a ccount, fornire assistenza ai clienti e tutelare i diritti della
Vinted UAB in caso di avvio di una procedura di rimborso. Atteso che
l’account era stato cancellato prima della presentazione del reclamo, la
Vinted UAB ha sostenuto di non essere più in grado di fornire informazioni
dettagliate sul trattamento dei dati effettuato in quel momento.
7 Dopo aver esaminato i reclami presentati da C.B.M., A.L. e A.L., il 5 febbraio
2024 l’Ispettorato ha adottato decisioni nelle quali ha riscontrato tre tipi di
violazione:
7.1. La Vinted UAB ha fornito agli interessati risposte contenenti un
insufficiente livello di dettaglio quando ha rifiutato di attuare il loro diritto
all’oblio, violando così l’articolo 5, paragrafo 1, lettera a) (principi di correttezza e
trasparenza) e l’articolo 12, paragrafi 1 e 4, del RGPD;
7.2. Le informazioni necessarie per giustificare il corretto esercizio del diritto di
accesso ai .... ......... .. ..... ....’........... ... .... ..... .......... ..
modo adeguato, violando così l’articolo 5, paragrafo 2 (principio di
responsabilizzazione) e l’articolo 24 del RGPD.
7.3. Il trattamento dei .... ......... ... .......à .. ...... ....... ..... .’........
5, paragrafo 1, lettera a) (principio di liceità) e l’articolo 6, paragrafo 1, del
RGPD.
8 Tali decisioni hanno non solo accertato che la Vinted UAB aveva violato talune
disposizioni del RGPD, ma hanno anche impartito istruzioni specifiche alla
società (ossia sono state applicate le misure di cui all’articolo 58, paragrafo 2, del
RGPD) ed è stato deciso di avviare un procedimento amministrativo finalizzato
all’applicazione di una sanzione amministrativa pecuniaria.
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
8
9 La Vinted UAB ha presentato ricorso al giudice di primo grado, chiedendo
l’annullamento delle decisioni dell’Ispettorato di cui sopra (in prosieguo: le
«decisioni impugnate»).
10 Nella sua decisione del 22 maggio 2025, il giudice di primo grado ha respinto i
ricorsi della Vinted UAB, ritenendo che le decisioni impugnate fossero state
adottate dopo un’adeguata valutazione dei fatti e delle disposizioni giuridiche che
disciplinano i rapporti giuridici in questione e che fossero fondate e motivate.
11 La Vinted UAB ha presentato ricorso dinanzi al giudice del rinvio.
Argomenti principali delle parti nel procedimento principale
12 Con la sua impugnazione, la ricorrente chiede l’annullamento della sentenza
pronunciata dal giudice di primo grado e l’adozione di una nuova decisione che
accolga il suo ricorso e annulli le decisioni impugnate.
13 La ricorrente dissente dalla valutazione del giudice di primo grado, secondo cui il
termine di quattro mesi per l’esame dei reclami stabilito dall’articolo 30, paragrafo
2, del LLPPD, che può essere prorogato (di non più di due ulteriori mesi), non si
applica nel caso in cui siano esaminati reclami relativi al trattamento
transfrontaliero di .... ......... (........ .. ... ....), .. ....ù ..... ......
prevista dall’articolo 23, paragrafo 2, del LLPPD. Essa dissente inoltre
dall’opinione del giudice, secondo cui il termine di prescrizione di due anni per
l’adozione di una decisione che impone una sanzione amministrativa pecuniaria,
previsto dall’articolo 32, paragrafo 3, del LLPPD, non è pertinente nel
procedimento principale, poiché la questione dell’imposizione di una sanzione
amministrativa pecuniaria non è stata esaminata nel procedimento amministrativo
principale (la sanzione pecuniaria è stata inflitta alla ricorrente con decisioni
diverse da quelle contestate nel procedimento amministrativo principale). La
ricorrente sostiene, in sostanza, che il diritto del resistente di esaminare i reclami e
di imporre misure correttive di cui all’articolo 58, paragrafo 2, del RGPD deve
essere limitato dal termine di prescrizione di due anni previsto dal diritto
nazionale all’articolo 32, paragrafo 3, del LLPPD.
14 Inoltre, la ricorrente sostiene che né il RGPD né la legislazione nazionale
contemplano un diritto del resistente di estendere l’ambito del reclamo degli
interessati senza avviare un’indagine separata.
15 Il resistente chiede che il ricorso della ricorrente sia respinto in quanto infondato e
che la decisione del giudice di primo grado del 22 maggio 2025 sia lasciata
invariata.
VINTED
9
Motivazione del rinvio pregiudiziale
16 Per quanto riguarda la prima questione pregiudiziale, il giudice del rinvio precisa
innanzitutto che il presente procedimento riguarda una controversia relativa alla
possibilità per un’autorità di controllo di adottare una decisione su un reclamo
relativo al trattamento transfrontaliero dei dati e di imporre misure correttive dopo
la scadenza del termine di prescrizione per l’irrogazione di sanzioni
amministrative pecuniarie previsto dalla normativa nazionale.
17 Atteso che il RGPD non prevede un termine di prescrizione entro il quale
l’autorità di controllo competente deve adottare tale decisione (nel procedimento
principale è pacifico che la ricorrente ha effettuato un trattamento transfrontaliero
di dati) o imporre le misure correttive di cui all’articolo 58, paragrafo 2, del
RGPD, detto giudice nutre dubbi sull’eventualità che l’interpretazione propugnata
dalla ricorrente – secondo cui il diritto dell’Ispettorato di esaminare tali reclami e
di imporre tali misur e correttive deve essere limitato dal termine di prescrizione di
due anni previsto dal diritto nazionale all’articolo 32, paragrafo 3, del LLPPD –
non limiti i poteri dell’Ispettorato di esaminare in modo efficace ed efficiente i
reclami di cui sopra relativi a possibili violazioni del RGPD.
18 Sulla base delle spiegazioni fornite nelle linee -guida sulla cooperazione, secondo
cui l’obbligo di cooperazione di cui all’articolo 60, paragrafo 1, del RGPD è un
obbligo giuridico, la procedura di cooperazione è caratterizzata, in sostanza, da
sforzi volti a raggiungere un ........ . ..... ....... ............ .. ..... ..
informazioni pertinenti, e l’obiettivo della procedura descritta all’articolo 60,
paragrafo 3, del RGPD è trovare rapidamente una decisione consensuale (punti
36, 37 e 81), nonché nella sentenza della Corte del 15 giugno 2021, Facebook
Ireland e a. (punti 52 e 53), il giudice del rinvio conclude che l’esame dei reclami
relativi al trattamento transfrontaliero dei dati prolunga inevitabilmente la ......
del procedimento, data la complessità delle procedure di cooperazione con altre
autorità di controllo.
19 Nella prima questione, il giudice del rinvio si basa anche sui punti 31 e 35 delle
linee -guida sulla cooperazione, secondo cui i compiti e i poteri conferiti alle
autorità di controllo dall’articolo 57 e dall’articolo 58 devono essere assolti
ricorrendo al diritto procedurale nazionale, ma tale diritto deve essere compatibile
con il RGPD, altrimenti l’autorità di controllo dovrebbe valutare la possibilità di
non applicarlo, nonché sull’interpretazione data dalla Corte nella sentenza del 9
marzo 1978, Amministrazione delle Finanze dello Stato/Simmenthal (punto 22),
secondo cui qualsiasi disposizione facente parte dell’ordinamento giuridico di uno
Stato membro e qualsiasi prassi amministrativa o giudiziaria, la quale porti a una
riduzione della concreta efficacia del diritto comunitario è incompatibile con il
diritto comunitario, nonché l’interpretazione data dalla Corte nella sentenza del 21
gennaio 2021, Whiteland Import Export (punti 53 e da 56 a 58), secondo cui, se le
norme nazionali relative al calcolo dei termini di prescrizione presentano un
rischio siste mico di impunità delle infrazioni di cui trattasi, il giudice nazionale
deve interpretare le disposizioni pertinenti del diritto nazionale alla luce del diritto
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
10
dell’Unione o, se necessario, disapplicarle. Il giudice del rinvio rileva inoltre che
il RGPD stabilisce un insieme di poteri uniforme per le autorità di controllo, il
diritto di adottare misure correttive (considerando 129, articolo 55, paragrafo 1,
articolo 57, paragrafo 1, e articolo 58, paragrafo 2), l’obiettivo di assicurare un
livello coerente ed elevato di protezione delle persone fisiche (considerando 10
del RGPD) e l’obbligo per le autorità di controllo di cooperare e assicurare
coerenza nell’appli cazione del RGPD (articoli 60 e 63 del RGPD).
20 La seconda questione pregiudiziale riguarda il diritto (o l’obbligo) di un’autorità
di controllo di adottare una decisione in merito a violazioni del RGPD non
menzionate nel reclamo dell’interessato, ma riscontrate durante l’esame dello
stesso.
21 Tale questione è sorta poiché, nell’esaminare i reclami presentati dagli interessati,
l’Ispettorato si è pronunciato anche su altre violazioni del RGPD relative allo
stesso trattamento dei dati. A tale riguardo, il giudice del rinvio fa riferimento
all’obbligo dell’autorità di controllo di esaminare i reclami con particolare
attenzione, ai significativi poteri investigativi di cui dispone e al diritto di adottare
una o più delle misure correttive previste dall’articolo 58, paragrafo 2, del RGPD;
esso si bas a conseguentemente sulle sentenze della Corte del 7 dicembre 2023,
SCHUFA Holding (Esdebitazione) (punti da 56 a 58), del 26 settembre 2024,
Land Hessen (Obbligo di agire dell ’autorità per la protezione dei dati) (punti 32,
37 e 42), del 16 luglio 2020, Facebook Ireland e ....... (..... ...), . ... ..
aprile 2025, Inspektorat kam Visshia sadeben savet (punto 132).
22 Le questioni terza e quarta e riguardano, rispettivamente, l’obbligo dell’autorità di
controllo di definire la portata dell’indagine su un reclamo e l’obbligo del
responsabile del trattamento di conservare i dati durante detta indagine.
23 Il giudice del rinvio sottolinea che, nel caso di A.L., la Vinted UAB, dopo aver
ricevuto una richiesta da parte de ll’autorità di controllo, non è stata in grado di
fornire prove relative all’attuazione del diritto di A.L. di accedere ai propri dati
personali (i dati erano stati cancellati dal sistema al termine del periodo di
conservazione automatica fissato dalla Vinted UAB perché, secondo la società,
essi non erano direttamente collegati all’indagine in corso). Da parte sua,
l’Ispettorato ha ritenuto che la Vinted UAB non avesse attuato misure tecniche e
organizzative adeguate, come richiesto dall’articolo 24 del RGPD, in quanto non
aveva correttamente valutato quali .... ......... ....... ......... ... .’........
in corso, sebbene l’Ispettorato non avesse indicato espressamente nelle sue
precedenti comunicazioni la necessità di conservare tali prove.
24 Il giudice del rinvio ritiene che il principio di responsabilizzazione di cui
all’articolo 5, paragrafo 2, del RGPD ricomprenda tutti i principi della protezione
dei dati, compresi quelli di min imizzazione dei dati e di limitazione della
conservazione. In sostanza, i suddetti due principi obbligano i responsabili del
trattamento a cancellare i .... ......... ... ... .... ..ù ........., ...... ..
VINTED
11
mancata cancellazione di dati che non hanno uno scopo legittimo può costituire
una violazione del RGPD.
25 Allo stesso tempo, detto giudice richiama l’attenzione sull’articolo 57, paragrafo
1, lettera f), del RGPD, che impone alle autorità di controllo l’obbligo di
esaminare i reclami relativi a eventuali violazioni della normativa in materia di
protezione dei dati, e sulla giurisprudenza della Corte di giustizia che interpreta
tale disposizione [sentenze del 7 dicembre 2023, SCHUFA Holding
(Esdebitazione) e del 26 settembre 2024, Land Hessen (Obbligo di agire
dell’ autorità per la protezione dei dati)].
26 Il giudice del rinvio osserva inoltre che il RGPD non impone all’autorità di
controllo alcun obbligo supplementare di comunicare con i responsabili del
trattamento secondo modalità particolari nell’ambito dell’i ndagine su un reclamo
presentato da un interessato e non disciplina il grado di chiarezza richiesto
all’autorità di controllo nell’ambito di tale indagine . Tuttavia, tale giudice ritiene
che il RGPD imponga all’autorità di controllo di agire con diligenza e di valutare
tutti i fattori rilevanti.
27 Sulla base di quanto sopra esposto, il giudice del rinvio chiede alla Corte di
giustizia di chiarire se l’articolo 57, paragrafo 1, lettera f), del RGPD imponga
all’autorità di controllo, quando riceve un reclamo da un interessato, di definire
chiaramente l’ambito dell’indagine e di specificare al ........ ... ........... ..
informazioni precise ad esso richieste al fine di garantire che il reclamo sia
oggetto di un’indagine adeguata.
28 Allo stesso tempo, il giudice del rinvio chiede di chiarire se, ai sensi degli articoli
5, paragrafo 2, e 24 del RGPD, il ........ ... ........... ... ...... . ..........
tutti i dati disponibili relativi all’interessato che ha presentato il reclamo per
l’intera ...... ....’........ ... ......., ..... ... .... .... ... .....
direttamente connessi all’oggetto del reclamo sottoposto a indagine da parte
dell’autorità di controllo, e se tale conservazione sia compatibile con i principi di
minimizzazione dei dat i e di limitazione della conservazione sanciti dal RGPD.
29 Per quanto riguarda la quinta questione pregiudiziale, il giudice del rinvio precisa
che, nella fattispecie, gli interessati, dopo il blocco degli account, hanno chiesto
alla Vinted UAB di cancellare i propri dati personali, senza tuttavia indicare la
specifica base giuridica ai sensi dell’articolo 17, paragrafo 1, del RGPD, mentre,
nelle sue risposte, la società ha indicato un solo motivo di rifiuto della
cancellazione dei dati (inerzia), ovvero il fatto di avere il diritto di trattare i dati al
fine di tu telare il proprio ......... ......... [........ ., ......... ., ....... .), ...
RGPD]. È stato tuttavia accertato che i .... ......... ..... ...... ....... .....
conservati non solo allo scopo di proteggere e garantire la sicurezza della
piattaforma e dei suoi utenti, ma anche per altri scopi e su altre basi giuridiche, ad
esempio per difendere i diritti e gli interessi della Vinted UAB in caso di avvio di
una procedura di rimborso nei suoi confronti, o per fini di contabilità finanziaria,
in quanto la soci età è soggetta a determinati obblighi legali [articolo 6, paragrafo
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
12
1, lettera c), del RGPD ], o ai fini di fornire assistenza ai clienti in relazione
all’esecuzione di un contratto [articolo 6, paragrafo 1, lettera b), del RGPD]. Ciò
nonostante, gli interessati non sono stati informati di tali finalità né dei fondamenti
giuridici sulla base dei quali la Vinted UAB ha trattato i loro dati, anche dopo che
avevano presentato le richieste di cancellazione.
30 Inoltre, tale giudice osserva che, nelle decisioni impugnate, l’Ispettorato ha
riscontrato che la Vinted UAB aveva violato l’articolo 5, paragrafo 1, lettera a), e
l’articolo 12, paragrafi 1 e 4, del RGPD perché, avendo valutato che non
sussistevano motivi per agire in risposta alla richiesta dell’interessato, non aveva
spiegato a quest’ultimo in modo trasparente, chiaro e semplice che: a) aveva
esaminato, ma non accertato, che al momento della richiesta sussistesse almeno
uno dei motivi di cui all’articolo 17, paragrafo 1, del RGPD per la cancellazione
dei .... ......... ....’............ .) ..... . .... ......... ....’........... .....
ancora (o avrebbero continuato ad essere) necessari per un determinato periodo di
tempo per finalità specifiche (elencando tali finalità) per le quali erano stati
raccolti o altrimenti trattati.
31 Secondo il giudice del rinvio, l’articolo 17, paragrafo 1, del RGPD può essere
interpretato in due modi: in primo luogo, esso conferisce all’interessato il diritto di
chiedere al ........ ... ........... .. ............. ... ...... .... ......... ., ..
secondo luogo, obbliga il ........ ... ........... . .......... .. ... ..... .....
indebito ritardo. Inoltre, tale diritto può essere esercitato quando è soddisfatta
almeno una delle sei condizioni di cui all’articolo 17, paragrafo 1, del RGPD.
Detto giudice sottolinea inoltre che, sebbene l’articolo 17 del RGPD non imponga
espressamente all’interessato l’obbligo di motivare la sua richiesta di
cancellazione, tale articolo fornisce un elenco esaustivo dei motivi che possono
essere invocati a sostegno di detta richiesta, nonché un elenco esaustivo delle
situazioni in cui il ........ ... ........... .. .. ....... .. .......... .... ..........
32 Il giudice del rinvio, tra l’altro, tenendo conto del punto 23 del parere 39/2021,
secondo cui i motivi per cui i .... ......... .. .. ........... ...... ......
cancellati potrebbero non essere noti a quest’ultimo o potrebbe essere difficile per
l’interessato essere a conoscenza di tali motivi, si chiede se il principio di
trasparenza di cui all’articolo 5, paragrafo 1, lettera a), e all’articolo 12, paragrafi
1 e 4, del RGPD comporti l’obbligo per il ........ ... ........... .. .........
l’interessato dell a sua valutazione di tutti i motivi di cancellazione, qualora la
richiesta di cancellazione non specifichi alcuno dei motivi di cui all’articolo 17,
paragrafo 1, del RGPD.
33 Inoltre, poiché il RGPD non specifica in che modo debba essere giustificato il
rifiuto di dare seguito al diritto alla cancellazione, il giudice del rinvio nutre dubbi
circa la portata del principio di trasparenza, qualora un ........ ... ...........
rifiuti di accogliere una richiesta di cancellazione dei .... ......... .......... ..
sensi dell’articolo 17 del RGPD.
VINTED
13
34 Pertanto, tenuto conto delle spiegazioni fornite nel considerando 39 del RGPD sul
significato e sull’impatto del principio di trasparenza sul trattamento dei dati,
nonché dei punti da 8 a 12 delle linee -guida sulla trasparenza, che spiegano le
espressioni «forma concisa, trasparente (...) e facilmente accessibile» e
«linguaggio semplice e chiaro», il giudice del rinvio nutre dubbi sulla circostanza
che un ............ ... ..........., ...... ....... .. .......... . .... ......... ..
sensi dell’articolo 17 del RGPD, debba, in base al principio di trasparenza, fornire
all’interessato informazioni dettagliate sul trattamento successivo dei dati,
comprese le finalità, le categorie di dati, le operazioni effettuate e la ba se giuridica
applicata.
35 Per quanto riguarda le questioni sesta e settima, il giudice del rinvio precisa che,
nel caso dell’interessata C.B.M., l’Ispettorato ha constatato che il trattamento dei
dati personali effettuato dalla Vinted UAB, applicando la pratica dello shadow
banning, era illegittimo e non soddisfaceva il criterio dell’interesse legittimo di cui
all’articolo 6, paragrafo 1, lettera f), del RGPD, in quanto non era stato garantito
un equilibrio adeguato tra gli interessi del ........ ... ........... . ......
dell’intere ssata (l’interessata non poteva ragionevolmente aspettarsi che i suoi dati
fossero trattati in tal modo e gli obiettivi perseguiti avrebbero potuto essere
raggiunti con modalità meno restrittive della sua privacy; un siffatto trattamento
ha inciso negativamente in modo sproporzionato sugli interessi e sui diritti
fondamentali dell’interessata).
36 Dopo aver valutato le spiegazioni fornite dalla Vinted UAB in merito alla nozione
di shadow banning, il paragrafo 12.1 delle Condizioni generali (che stabilisce che
gli utenti non vengono avvertiti della restrizione all’accesso alla piattaforma
qualora sia necessario un intervento immediato per proteggere altri utenti della
stessa, visitatori e terzi, o per garantire la sicurezza e l’integrità della piattaforma)
e l’Informativa sulla ....... (... ...... ... ..... . .... ..... ...... ....... ......
trattati ai fini dell’esecuzione della restrizione , ma non distingue tra i diversi tipi
di restrizione ), il giudice del rinvio conclude che, nell’applicare lo shadow
banning, la Vinted UAB si è basata sull’articolo 6, paragrafo 1, lettera f), del
RGPD, ossia i l legittim o interess e del ........ ... ........... . .. ..... (.. ..ù
ampia comunità della Vinted UAB) come base giuridica per il trattamento dei dati
personali degli utenti i cui account sono stati sospesi.
37 Il giudice del rinvio, tenendo conto dell’articolo 5, paragrafo 1, lettera a), del
RGPD, nonché delle disposizioni degli articoli 13 e 14 del RGPD, come
interpretati dalla Corte di giustizia nella sentenza del 28 novembre 2024, Másdi
(C -169/23, punto 49), osserva che l’articolo 14, paragrafo 5, lettera b), del RGPD
prevede un’eccezione limitata all’obbligo di notifica, consentendo ai responsabili
del trattamento di astenersi dalla notifica (anche quando questa riguarda
informazioni sui legittimi interessi p erseguiti) qualora ciò «comprometta
gravemente» le finalità del trattamento, a condizione che il trattamento stesso sia
conforme a tutti i principi di trattamento dei dati di cui all’articolo 5 del RGPD. Il
giudice del rinvio fa inoltre riferimento al punto 65 delle linee -guida sulla
trasparenza, secondo cui, per avvalersi di tale eccezione, il ........ ... ...........
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
14
deve dimostrare che fornire le informazioni di cui all’articolo 14, paragrafo 1, del
RGPD vanificherebbe gli obiettivi del trattamento dei dati di cui trattasi e deve
garantire che il trattamento soddisfi tutti i principi di cui all’articolo 5 del RGPD.
38 Il giudice del rinvio ritiene che quanto sopra possa essere rilevante nei casi di
shadow banning, in cui la notifica delle misure di sicurezza agli utenti potrebbe
comprometterne l’efficacia. Tuttavia, a suo avviso, per poter invocare tale
eccezione e non procedere alla notifica immediata, i responsabili del trattamento
devono dimostrare che fornire informazioni prima dell’inizio del trattamento
comprometterebbe gli obiettivi dell’intera operazione di trattamento.
39 Infine, il giudice del rinvio osserva che, sebbene tali requisiti siano chiaramente
indicati nel testo del RGPD, tale testo non specifica la forma esatta, i tempi o il
livello di dettaglio delle informazioni da comunicare, e che , inoltre, non risulta
esservi giurisprudenza della Corte di giustizia sullo specifico ambito di
applicazione degli obblighi di trasparenza di cui agli articoli 13 e 14 del RGPD, in
particolare per quanto riguarda l’applicazione dell’articolo 14, paragrafo 5, lettera
b), del RGPD in circostanze quali lo shadow banning.
paragrafo 1, del regolamento di procedura della Corte di giustizia
Data di deposito:
17 novembre 2025
Giudice del rinvio:
Lietuvos vyriausiasis administracinis teismas (Lituania)
Data della decisione di rinvio:
12 novembre 2025
Ricorrente in primo grado e in appello:
Vinted UAB
Resistente in primo grado e in appello:
Valstybinė duomenų apsaugos inspekcija (Ispettorato nazionale per
la protezione dei dati)
Intervenienti:
C.B.M.
A.L.
A.L.
Oggetto del procedimento principale
Ricorso in appello con cui la società a responsabilità limitata Vinted (in prosieguo,
anche: la «ricorrente» o la «Vinted UAB») chiede l’annullamento della sentenza
pronunciata dal giudice di primo grado il 22 maggio 2025 in un procedimento
amministrativo pilota relativo alle decisioni dell’Ispettorato nazionale per la
protezione dei dati (in prosieguo: l’«Ispettorato» o il «resistente») in cui sono state
accertate violazioni del regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con
riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali
* Lingua processuale: il lituano.
IT
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
2
dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei
dati) (in prosieguo: il «RGPD»), e l’adozione di una nuova decisione.
Oggetto della domanda di pronuncia pregiudiziale
La presente domanda di pronuncia pregiudiziale verte sull’interpretazione delle
disposizioni dell’articolo 5, paragrafo 1, lettera a), e paragrafo 2, dell’articolo 6,
paragrafo 1, lettera f), dell’articolo 12, paragrafi 1 e 4, dell’articolo 13, paragrafo
1, lettera d), dell’articolo 14, paragrafo 3, lettera a), dell’articolo 14, paragrafo 5,
in generale, e dell’articolo 14, paragrafo 5, lettera b), in particolare, dell’articolo
24, dell’articolo 55, paragrafo 1, dell’articolo 56, paragrafo 1, dell’articolo 57,
paragrafo 1, in generale, e della lettera f), in particolare, nonché dell’articolo 58,
paragrafi 1 e 2, e dell’articolo 60 del RGPD.
Questioni pregiudiziali
1. Se le disposizioni dell’articolo 55, paragrafo 1, dell’articolo 56, paragrafo 1,
dell’articolo 57, paragrafo 1, dell’articolo 58, paragrafi 1 e 2, e dell’articolo 60 del
RGPD debbano essere interpretate nel senso che ostano a una prassi di uno Stato
membro in base alla quale l’autorità di controllo non può più pronunciarsi su un
reclamo avente ad oggetto il trattamento transfrontaliero dei dati e/o imporre le
misure correttive di cui all’articolo 58, paragrafo 2, del RGPD per il solo motivo
che è scaduto il termine di prescrizione di due anni previsto dal diritto nazionale
per l’irrogazione di una sanzione amministrativa pecuniaria.
2. Se l’articolo 57, paragrafo 1, lettera f), e l’articolo 58, paragrafi 1 e 2, del
RGPD debbano essere interpretati nel senso che, nell’esaminare un reclamo
presentato da un interessato in relazione a una specifica violazione indicata nello
stesso reclamo , un’autorità di controllo può (o deve) adottare una decisione in
merito ad altre violazioni del RGPD relative allo stesso trattamento di dati che
sono state scoperte durante l’indagine sul reclamo, oppure nel senso che essa deve
limitarsi all’oggetto del reclamo.
3. Se l’articolo 57, paragrafo 1, lettera f), del RGPD debba essere interpretato
nel senso che l’autorità di controllo, quando riceve un reclamo da un interessato, è
tenuta a definire chiaramente l’ambito dell’indagine e a specificare al ........ ...
trattamento le informazioni precise ad esso richieste al fine di garantire che il
reclamo sia oggetto di un’indagine adeguata.
4. Se l’articolo 5, paragrafo 2, e l’articolo 24 del RGPD debbano essere
interpretati nel senso che, conformemente al principio di responsabilità, il ........
del trattamento è tenuto a conservare tutti i dati disponibili relativi all’interessato
che ha presentato il reclamo per l’intero periodo dell’indagine sullo stesso , anche
se tali dati non sono direttamente correlati all’oggetto del reclamo su cui vertono
le indagini da parte dell’autorità di controllo, e tale conservazione è compatibile
con il princi pio di min imizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera
VINTED
3
c), del RGPD e con il principio di limitazione della conservazione di cui alla
lettera e) dello stesso.
5. Se l’articolo 5, paragrafo 1, lettera a), e l’articolo 12, paragrafi 1 e 4, del
RGPD debbano essere interpretati nel senso che, qualora un interessato presenti
una richiesta generica di cancellazione dei propri .... ......... .. .....
dell’articolo 17 del RGPD , senza indicarne i motivi, il ........ ... ........... ..ò
rifiutarsi di cancellare i dati e non è tenuto a informare l’interessato di aver
valutato, di propria iniziativa, se sussista almeno uno dei motivi di cancellazione
di cui all’articolo 17, paragrafo 1, del RGPD. Inoltre, in caso di rifiuto di
cancellare i .... ......... ..... .... .. ... ......... .. ..... ....’........ .. ...
RGPD, se il principio di trasparenza sancito dall’articolo 5, paragrafo 1, lettera a),
e dall’articolo 12, paragrafo 1, del RGPD, in combinato disposto con l’articolo 12,
paragrafo 4, debba essere interpretato nel senso che impone al ........ ...
trattamento di fornire all’interessato informazioni su tutti i motivi per cui i dati
personali saranno trattati, comprese le finalità delle restanti operazioni di
trattamento, le categorie di dati, le operazioni di trattamento e la base giuridica .
6. Se l’articolo 5, paragrafo 1, lettera a), l’articolo 6, paragrafo 1, lettera f),
l’articolo 13, paragrafo 1, lettera d), l’articolo 14, paragrafo 3, lettera a), e
l’articolo 14, paragrafo 5, del RGPD debbano essere interpretati nel senso che
l’obbligo del ........ ... ........... .. ....... ...’........... ............ ........
al trattamento dei .... ......... .......... .. ......... ... . ...... .......
(restrizione della visibilità ) si considera adempiuto e conforme al principio di
trasparenza qualora il ........ ... ........... ........ ..... ... ........... .....
privacy che la restrizione sarà applicata in caso di violazione delle regole della
piattaforma (senza specificare i possibili tipi di restrizioni, compreso lo shadow
banning ) e che i .... ......... (........ .. ...... ..... ..........., .. ...... . .
dati del profilo) saranno trattati sulla base del ......... ......... .. .......... .
garantire la sicurezza della piattaforma, dei suoi utenti e dei suoi membri, sebbene
l’interessato non sia inf ormato individualmente del trattamento dei .... .........
effettuato in relazione allo shadow banning né all’inizio di tale trattamento né in
seguito, ma solo dopo il termine del periodo di restrizione della visibilità (non
superiore a 30 giorni) e l’applicazione di una restrizione completa, all’interessato
vengono fornite informazioni relative al trattamento dei .... ......... . .....
della restrizione (restrizione completa, non shadow banning). In caso di risposta
negativa a quest’ultima domanda, se l’art icolo 14, paragrafo 5, lettera b), del
RGPD debba essere interpretato nel senso che il ........ ... ........... ..ò
avvalersi dell a deroga all’obbligo di informazione prevista da tale disposizione,
qualora il trattamento sia effettuato ai fini dello shadow banning.
7. Se l’articolo 5, paragrafo 1, lettera a), e l’articolo 6, paragrafo 1, lettera f),
del RGPD debbano essere interpretati nel senso che le azioni di un ........ ...
trattamento che tratta i .... ......... .. .. ...... .. .... ..... ...... .......
senza informare l’interessato di tale trattamento, ma con l’obiettivo di proteggere
la piattaforma, i suoi utenti e i suoi membri, possono essere considerate conformi
ai requisiti di liceità previsti dal RGPD.
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
4
Disposizioni di legge fatte valere
Diritto nazionale
Articolo 1, paragrafi 3 e 5, articolo 7, paragrafi 1 e 2, articolo 11, paragrafo 1,
articolo 12, paragrafo 1, articolo 23, paragrafi 1 e 2, articolo 30, paragrafo 2,
articolo 31, paragrafi 1 e 2, e articolo 32, paragrafo 3, del Lietuvos Respublikos
asmens duomenų teisinės apsaugos įstatymas (legge della Repubblica di Lituania
sulla protezione giuridica dei dati personali) (in prosieguo: il «LLPPD»).
Paragrafi 1, 2, 34 e 37 della Descrizione della procedura per l’esame dei reclami
da parte dell’Ispettorato nazionale per la protezione dei dati, approvata con
decreto n. 1T -20(1.12.E) del Direttore dell’Ispettorato nazionale per la protezione
dei dati del 2 marzo 2021 (versione in vigore dal 3 marzo 2021 al 3 febbraio 2024)
e paragrafi 1 e 34 della versione in vigore dal 3 marzo 2024 al 1º luglio 2024.
Paragrafi 5 e 48 della Descrizione della procedura per l’irrogazione di sanzioni
amministrative pecuniarie per violazioni della legislazione in materia di
protezione dei dati personali, approvata con decreto n. 1T -154 (1.12.E) del
direttore dell’Ispettorato del 30 settembre 2019.
Diritto dell’Unione
Articolo 5, articolo 6, paragrafo 1, articolo 12, articolo 13, articolo 14, articolo 17,
articolo 24, paragrafo 1, articolo 55, paragrafo 1, articolo 56, paragrafo 1, articolo
57, paragrafo 1, lettera f), articolo 58, paragrafi 1 e 2, e articolo 60 del RGPD.
Linee -guida 02/2022 sull’applicazione dell’articolo 60 del regolamento generale
sulla protezione dei dati (in prosieguo: le «linee -guida sulla cooperazione»),
adottate dal Comitato europeo per la protezione dei dati (in prosieguo: l’«EDPB»)
il 14 marzo 2022.
EDPB, Gruppo di lavoro articolo 29 – Linee -guida sulla trasparenza ai sensi del
regolamento 2016/679 (in prosieguo: le «linee -guida sulla trasparenza»).
Parere 39/2021 sulla possibilità che l’articolo 58, paragrafo 2, lettera g), del
regolamento generale sulla protezione dei dati possa costituire una base giuridica
per consentire a un’autorità di controllo di ordinare d’ufficio la cancellazione dei
dati personali, in una situazione in cui tale richiesta non sia stata presentata
dall’interessato (in prosieguo: il «parere 39/2021»).
VINTED
5
Giurisprudenza richiamata
Giurisprudenza dell’Unione
Sentenza della Corte del 9 marzo 1978, Amministrazione delle finanze dello
Stato/Simmenthal, 106/77, EU:C:1978: 49 .
Sentenza della Corte del 27 maggio 1993, Johannes Peter/Hauptzollamt
Regensburg, C -290/91, EU:C:1993:220.
Sentenza della Corte del 16 luglio 2020, Facebook Ireland e Schrems, C -311/18;
ECLI:EU:C:2020:559.
Sentenza della Corte del 21 gennaio 2021, Whiteland Import Export, C -308/19,
ECLI:EU:C:2021:47.
Sentenza della Corte del 15 giugno 2021, Facebook Ireland e a., C -645/19;
ECLI:EU:C:2021:483 .
Sentenza della Corte del 7 dicembre 2023, SCHUFA Holding (Esdebitazione),
C-26/22 e C -64/22, EU:C:2023:958.
Sentenza della Corte del 26 settembre 2024, Land Hessen ( Obbligo di agire
dell’autorità per la protezione dei dati ), C -768/21, EU:C:2024:785.
Sentenza della Corte del 28 novembre 2024, Másdi, C -169/23, EU:C:2024:988.
Sentenza della Corte del 30 aprile 2025, Inspektorat kam Visshia sadeben savet,
C-313/23, C -316/23 e C -332/23, EU:C:2025:303.
Breve illustrazione dei fatti e del procedimento principale
1 La società Vinted UAB, che gestisce un mercato online dove gli utenti possono
acquistare e vendere beni (in prosieguo: la «piattaforma»), tratta i .... .........
degli utenti.
2 La situazione oggetto del procedimento principale è sorta a seguito dei reclami
presentati da tre persone interessate francesi, C.B.M., A.L. e A.L., i cui account
sulla piattaforma erano stati bloccati. I suddetti hanno contattato la Vinted UAB
chiedendo spiegazioni in merito al blocco dei loro account e alla cancellazione dei
loro dati personali, poiché non vedevano alcuna utilità nel conservarli sulla
piattaforma.
3 La Vinted UAB ha fornito a ciascuno di tali interessati risposte simili, affermando
che: 1) le richieste non facevano specifico riferimento a nessuno dei motivi
indicati all’articolo 17 del RGPD; 2) gli account erano stati bloccati a causa di una
violazione delle condizioni d’uso della Vinted UAB; 3) la Vinted UAB ha il
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
6
diritto di trattare i .... ......... .. .... .. ........ . ...... ......... ......... . ..
conservare i dati degli utenti banditi al fine di proteggere la propria piattaforma e
gli utenti esistenti dagli utenti che violano tali condizioni d’uso; 4) un reclamo
relativo a una possibile violazione del RGPD può essere presentato all’autorità di
controllo dello Stato membro di residenza e può anche essere formulato avviando
un procedimento legale.
4 Poiché le risposte fornite dalla Vinted UAB non hanno soddisfatto gli interessati,
essi hanno presentato reclamo all’autorità di controllo francese per la protezione
dei dati. Tale autorità ha inoltrato i reclami all’Ispettorato, che svolge i compiti, e
dispone dei poteri, di un’autorità di controllo, come stabilito dal RGPD.
5 L’Ispettorato ha contattato la Vinted UAB richiedendo alcune informazioni
relative ai reclami di C.B.M., A.L. e A.L.
6 In risposta alle richieste dell’Ispettorato, la Vinted UAB ha fornito le seguenti
spiegazioni:
a) per quanto riguarda C.B.M. , la quale il 29 gennaio 2021 ha presentato alla
Vinted UAB richiesta di cancellazione del suo account bloccato , la
ricorrente ha affermato che tale account era stato bloccato a causa di
violazioni delle condizioni d’uso di cui sopra (che non sono state
specificate), che la cancellazione dei .... ......... ... ... ......... ...
motivi di sicurezza e prevenzione degli abusi, anche al fine di consentire alla
Vinted UAB di avanzare richieste di eventuali pagamenti o rimborsi,
difen dersi da eventuali azioni legali e garantire la stabilità operativa della
piattaforma. Inoltre, la Vinted UAB ha sostenuto che la richiesta di C.B.M.
di cancellare i dati non soddisfaceva le condizioni di cui all’articolo 17 del
RGPD e che il suo account era stato sottoposto a shadow ban ning
(restrizione della visibilità) , il che significa che l’account rimaneva
tecnicamente attivo, ma la sua attività era limitata e invisibile agli altri utenti
della piattaforma (gli utenti della piattaforma non vengono informati di tale
restrizione e dopo 30 giorni sono sottoposti a una restrizione totale, del la
quale vengono poi informati).
b) per quanto riguarda A.L. , il quale il 24 febbraio 2021 ha presentato alla
Vinted UAB la richiesta di cancellare tutti i .... ......... . ....... ..
possesso della società e di indicare se nei file della società fossero presenti
informazioni che lo riguardavano, la Vinted UAB ha affermato di avere un
interesse legittimo al trattamento dei dati di A.L. quando il suo account è
stato bloccato a causa di violazioni delle condizioni d’uso, che la
conservazione dei dati era necessaria per proteggere la piattaf orma e i suoi
utenti da abusi, nonché in relazione a potenziali controversie su pagament i, e
che prevedeva di cancellare i suoi dati il 22 gennaio 2022. Successivamente,
la Vinted UAB ha informato l’Ispettorato che, a seguito della cancellazione
dell’account dell’interessato A.L., anche la sua corrispondenza con il team
VINTED
7
del servizio clienti della Vinted UAB era stata cancellata, rendendo
impossibile per quest’ultima fornire le informazioni richieste.
c) per quanto riguarda A.L ., la quale il 6 agosto 2021 ha presentato alla Vinted
UAB domanda di cancellazione del suo account bloccato e dei relativi dati
personali, la ricorrente ha affermato che l’account e la maggior parte dei dati
personali correlati erano stati cancellati automaticamente il 5 febbraio 2022,
in conformità con i periodi di conservazione dei dati in vigore all’epoca.
Pertanto, la Vinted UAB non era più in grado di confermare quali azioni
specifiche fossero state intraprese in quel moment o, né di fornire prove circa
l’adempimento della richiesta di cancellazione dei dati presentata da A.L. e
le modalità di trattamento della stessa. La Vinted UAB ha inoltre dichiarato
che, in quel momento, in conformità con l’articolo 6, paragrafo 1, lettera c),
del RGPD, stava ancora trattando alcuni dati di A.L. a fini di contabilità
finanziaria e che tali dati potevano essere stati trattati anche per altri scopi,
quali garantire la sicurezza della piattaforma e degli utenti, controllare gli
accessi agli a ccount, fornire assistenza ai clienti e tutelare i diritti della
Vinted UAB in caso di avvio di una procedura di rimborso. Atteso che
l’account era stato cancellato prima della presentazione del reclamo, la
Vinted UAB ha sostenuto di non essere più in grado di fornire informazioni
dettagliate sul trattamento dei dati effettuato in quel momento.
7 Dopo aver esaminato i reclami presentati da C.B.M., A.L. e A.L., il 5 febbraio
2024 l’Ispettorato ha adottato decisioni nelle quali ha riscontrato tre tipi di
violazione:
7.1. La Vinted UAB ha fornito agli interessati risposte contenenti un
insufficiente livello di dettaglio quando ha rifiutato di attuare il loro diritto
all’oblio, violando così l’articolo 5, paragrafo 1, lettera a) (principi di correttezza e
trasparenza) e l’articolo 12, paragrafi 1 e 4, del RGPD;
7.2. Le informazioni necessarie per giustificare il corretto esercizio del diritto di
accesso ai .... ......... .. ..... ....’........... ... .... ..... .......... ..
modo adeguato, violando così l’articolo 5, paragrafo 2 (principio di
responsabilizzazione) e l’articolo 24 del RGPD.
7.3. Il trattamento dei .... ......... ... .......à .. ...... ....... ..... .’........
5, paragrafo 1, lettera a) (principio di liceità) e l’articolo 6, paragrafo 1, del
RGPD.
8 Tali decisioni hanno non solo accertato che la Vinted UAB aveva violato talune
disposizioni del RGPD, ma hanno anche impartito istruzioni specifiche alla
società (ossia sono state applicate le misure di cui all’articolo 58, paragrafo 2, del
RGPD) ed è stato deciso di avviare un procedimento amministrativo finalizzato
all’applicazione di una sanzione amministrativa pecuniaria.
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
8
9 La Vinted UAB ha presentato ricorso al giudice di primo grado, chiedendo
l’annullamento delle decisioni dell’Ispettorato di cui sopra (in prosieguo: le
«decisioni impugnate»).
10 Nella sua decisione del 22 maggio 2025, il giudice di primo grado ha respinto i
ricorsi della Vinted UAB, ritenendo che le decisioni impugnate fossero state
adottate dopo un’adeguata valutazione dei fatti e delle disposizioni giuridiche che
disciplinano i rapporti giuridici in questione e che fossero fondate e motivate.
11 La Vinted UAB ha presentato ricorso dinanzi al giudice del rinvio.
Argomenti principali delle parti nel procedimento principale
12 Con la sua impugnazione, la ricorrente chiede l’annullamento della sentenza
pronunciata dal giudice di primo grado e l’adozione di una nuova decisione che
accolga il suo ricorso e annulli le decisioni impugnate.
13 La ricorrente dissente dalla valutazione del giudice di primo grado, secondo cui il
termine di quattro mesi per l’esame dei reclami stabilito dall’articolo 30, paragrafo
2, del LLPPD, che può essere prorogato (di non più di due ulteriori mesi), non si
applica nel caso in cui siano esaminati reclami relativi al trattamento
transfrontaliero di .... ......... (........ .. ... ....), .. ....ù ..... ......
prevista dall’articolo 23, paragrafo 2, del LLPPD. Essa dissente inoltre
dall’opinione del giudice, secondo cui il termine di prescrizione di due anni per
l’adozione di una decisione che impone una sanzione amministrativa pecuniaria,
previsto dall’articolo 32, paragrafo 3, del LLPPD, non è pertinente nel
procedimento principale, poiché la questione dell’imposizione di una sanzione
amministrativa pecuniaria non è stata esaminata nel procedimento amministrativo
principale (la sanzione pecuniaria è stata inflitta alla ricorrente con decisioni
diverse da quelle contestate nel procedimento amministrativo principale). La
ricorrente sostiene, in sostanza, che il diritto del resistente di esaminare i reclami e
di imporre misure correttive di cui all’articolo 58, paragrafo 2, del RGPD deve
essere limitato dal termine di prescrizione di due anni previsto dal diritto
nazionale all’articolo 32, paragrafo 3, del LLPPD.
14 Inoltre, la ricorrente sostiene che né il RGPD né la legislazione nazionale
contemplano un diritto del resistente di estendere l’ambito del reclamo degli
interessati senza avviare un’indagine separata.
15 Il resistente chiede che il ricorso della ricorrente sia respinto in quanto infondato e
che la decisione del giudice di primo grado del 22 maggio 2025 sia lasciata
invariata.
VINTED
9
Motivazione del rinvio pregiudiziale
16 Per quanto riguarda la prima questione pregiudiziale, il giudice del rinvio precisa
innanzitutto che il presente procedimento riguarda una controversia relativa alla
possibilità per un’autorità di controllo di adottare una decisione su un reclamo
relativo al trattamento transfrontaliero dei dati e di imporre misure correttive dopo
la scadenza del termine di prescrizione per l’irrogazione di sanzioni
amministrative pecuniarie previsto dalla normativa nazionale.
17 Atteso che il RGPD non prevede un termine di prescrizione entro il quale
l’autorità di controllo competente deve adottare tale decisione (nel procedimento
principale è pacifico che la ricorrente ha effettuato un trattamento transfrontaliero
di dati) o imporre le misure correttive di cui all’articolo 58, paragrafo 2, del
RGPD, detto giudice nutre dubbi sull’eventualità che l’interpretazione propugnata
dalla ricorrente – secondo cui il diritto dell’Ispettorato di esaminare tali reclami e
di imporre tali misur e correttive deve essere limitato dal termine di prescrizione di
due anni previsto dal diritto nazionale all’articolo 32, paragrafo 3, del LLPPD –
non limiti i poteri dell’Ispettorato di esaminare in modo efficace ed efficiente i
reclami di cui sopra relativi a possibili violazioni del RGPD.
18 Sulla base delle spiegazioni fornite nelle linee -guida sulla cooperazione, secondo
cui l’obbligo di cooperazione di cui all’articolo 60, paragrafo 1, del RGPD è un
obbligo giuridico, la procedura di cooperazione è caratterizzata, in sostanza, da
sforzi volti a raggiungere un ........ . ..... ....... ............ .. ..... ..
informazioni pertinenti, e l’obiettivo della procedura descritta all’articolo 60,
paragrafo 3, del RGPD è trovare rapidamente una decisione consensuale (punti
36, 37 e 81), nonché nella sentenza della Corte del 15 giugno 2021, Facebook
Ireland e a. (punti 52 e 53), il giudice del rinvio conclude che l’esame dei reclami
relativi al trattamento transfrontaliero dei dati prolunga inevitabilmente la ......
del procedimento, data la complessità delle procedure di cooperazione con altre
autorità di controllo.
19 Nella prima questione, il giudice del rinvio si basa anche sui punti 31 e 35 delle
linee -guida sulla cooperazione, secondo cui i compiti e i poteri conferiti alle
autorità di controllo dall’articolo 57 e dall’articolo 58 devono essere assolti
ricorrendo al diritto procedurale nazionale, ma tale diritto deve essere compatibile
con il RGPD, altrimenti l’autorità di controllo dovrebbe valutare la possibilità di
non applicarlo, nonché sull’interpretazione data dalla Corte nella sentenza del 9
marzo 1978, Amministrazione delle Finanze dello Stato/Simmenthal (punto 22),
secondo cui qualsiasi disposizione facente parte dell’ordinamento giuridico di uno
Stato membro e qualsiasi prassi amministrativa o giudiziaria, la quale porti a una
riduzione della concreta efficacia del diritto comunitario è incompatibile con il
diritto comunitario, nonché l’interpretazione data dalla Corte nella sentenza del 21
gennaio 2021, Whiteland Import Export (punti 53 e da 56 a 58), secondo cui, se le
norme nazionali relative al calcolo dei termini di prescrizione presentano un
rischio siste mico di impunità delle infrazioni di cui trattasi, il giudice nazionale
deve interpretare le disposizioni pertinenti del diritto nazionale alla luce del diritto
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
10
dell’Unione o, se necessario, disapplicarle. Il giudice del rinvio rileva inoltre che
il RGPD stabilisce un insieme di poteri uniforme per le autorità di controllo, il
diritto di adottare misure correttive (considerando 129, articolo 55, paragrafo 1,
articolo 57, paragrafo 1, e articolo 58, paragrafo 2), l’obiettivo di assicurare un
livello coerente ed elevato di protezione delle persone fisiche (considerando 10
del RGPD) e l’obbligo per le autorità di controllo di cooperare e assicurare
coerenza nell’appli cazione del RGPD (articoli 60 e 63 del RGPD).
20 La seconda questione pregiudiziale riguarda il diritto (o l’obbligo) di un’autorità
di controllo di adottare una decisione in merito a violazioni del RGPD non
menzionate nel reclamo dell’interessato, ma riscontrate durante l’esame dello
stesso.
21 Tale questione è sorta poiché, nell’esaminare i reclami presentati dagli interessati,
l’Ispettorato si è pronunciato anche su altre violazioni del RGPD relative allo
stesso trattamento dei dati. A tale riguardo, il giudice del rinvio fa riferimento
all’obbligo dell’autorità di controllo di esaminare i reclami con particolare
attenzione, ai significativi poteri investigativi di cui dispone e al diritto di adottare
una o più delle misure correttive previste dall’articolo 58, paragrafo 2, del RGPD;
esso si bas a conseguentemente sulle sentenze della Corte del 7 dicembre 2023,
SCHUFA Holding (Esdebitazione) (punti da 56 a 58), del 26 settembre 2024,
Land Hessen (Obbligo di agire dell ’autorità per la protezione dei dati) (punti 32,
37 e 42), del 16 luglio 2020, Facebook Ireland e ....... (..... ...), . ... ..
aprile 2025, Inspektorat kam Visshia sadeben savet (punto 132).
22 Le questioni terza e quarta e riguardano, rispettivamente, l’obbligo dell’autorità di
controllo di definire la portata dell’indagine su un reclamo e l’obbligo del
responsabile del trattamento di conservare i dati durante detta indagine.
23 Il giudice del rinvio sottolinea che, nel caso di A.L., la Vinted UAB, dopo aver
ricevuto una richiesta da parte de ll’autorità di controllo, non è stata in grado di
fornire prove relative all’attuazione del diritto di A.L. di accedere ai propri dati
personali (i dati erano stati cancellati dal sistema al termine del periodo di
conservazione automatica fissato dalla Vinted UAB perché, secondo la società,
essi non erano direttamente collegati all’indagine in corso). Da parte sua,
l’Ispettorato ha ritenuto che la Vinted UAB non avesse attuato misure tecniche e
organizzative adeguate, come richiesto dall’articolo 24 del RGPD, in quanto non
aveva correttamente valutato quali .... ......... ....... ......... ... .’........
in corso, sebbene l’Ispettorato non avesse indicato espressamente nelle sue
precedenti comunicazioni la necessità di conservare tali prove.
24 Il giudice del rinvio ritiene che il principio di responsabilizzazione di cui
all’articolo 5, paragrafo 2, del RGPD ricomprenda tutti i principi della protezione
dei dati, compresi quelli di min imizzazione dei dati e di limitazione della
conservazione. In sostanza, i suddetti due principi obbligano i responsabili del
trattamento a cancellare i .... ......... ... ... .... ..ù ........., ...... ..
VINTED
11
mancata cancellazione di dati che non hanno uno scopo legittimo può costituire
una violazione del RGPD.
25 Allo stesso tempo, detto giudice richiama l’attenzione sull’articolo 57, paragrafo
1, lettera f), del RGPD, che impone alle autorità di controllo l’obbligo di
esaminare i reclami relativi a eventuali violazioni della normativa in materia di
protezione dei dati, e sulla giurisprudenza della Corte di giustizia che interpreta
tale disposizione [sentenze del 7 dicembre 2023, SCHUFA Holding
(Esdebitazione) e del 26 settembre 2024, Land Hessen (Obbligo di agire
dell’ autorità per la protezione dei dati)].
26 Il giudice del rinvio osserva inoltre che il RGPD non impone all’autorità di
controllo alcun obbligo supplementare di comunicare con i responsabili del
trattamento secondo modalità particolari nell’ambito dell’i ndagine su un reclamo
presentato da un interessato e non disciplina il grado di chiarezza richiesto
all’autorità di controllo nell’ambito di tale indagine . Tuttavia, tale giudice ritiene
che il RGPD imponga all’autorità di controllo di agire con diligenza e di valutare
tutti i fattori rilevanti.
27 Sulla base di quanto sopra esposto, il giudice del rinvio chiede alla Corte di
giustizia di chiarire se l’articolo 57, paragrafo 1, lettera f), del RGPD imponga
all’autorità di controllo, quando riceve un reclamo da un interessato, di definire
chiaramente l’ambito dell’indagine e di specificare al ........ ... ........... ..
informazioni precise ad esso richieste al fine di garantire che il reclamo sia
oggetto di un’indagine adeguata.
28 Allo stesso tempo, il giudice del rinvio chiede di chiarire se, ai sensi degli articoli
5, paragrafo 2, e 24 del RGPD, il ........ ... ........... ... ...... . ..........
tutti i dati disponibili relativi all’interessato che ha presentato il reclamo per
l’intera ...... ....’........ ... ......., ..... ... .... .... ... .....
direttamente connessi all’oggetto del reclamo sottoposto a indagine da parte
dell’autorità di controllo, e se tale conservazione sia compatibile con i principi di
minimizzazione dei dat i e di limitazione della conservazione sanciti dal RGPD.
29 Per quanto riguarda la quinta questione pregiudiziale, il giudice del rinvio precisa
che, nella fattispecie, gli interessati, dopo il blocco degli account, hanno chiesto
alla Vinted UAB di cancellare i propri dati personali, senza tuttavia indicare la
specifica base giuridica ai sensi dell’articolo 17, paragrafo 1, del RGPD, mentre,
nelle sue risposte, la società ha indicato un solo motivo di rifiuto della
cancellazione dei dati (inerzia), ovvero il fatto di avere il diritto di trattare i dati al
fine di tu telare il proprio ......... ......... [........ ., ......... ., ....... .), ...
RGPD]. È stato tuttavia accertato che i .... ......... ..... ...... ....... .....
conservati non solo allo scopo di proteggere e garantire la sicurezza della
piattaforma e dei suoi utenti, ma anche per altri scopi e su altre basi giuridiche, ad
esempio per difendere i diritti e gli interessi della Vinted UAB in caso di avvio di
una procedura di rimborso nei suoi confronti, o per fini di contabilità finanziaria,
in quanto la soci età è soggetta a determinati obblighi legali [articolo 6, paragrafo
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
12
1, lettera c), del RGPD ], o ai fini di fornire assistenza ai clienti in relazione
all’esecuzione di un contratto [articolo 6, paragrafo 1, lettera b), del RGPD]. Ciò
nonostante, gli interessati non sono stati informati di tali finalità né dei fondamenti
giuridici sulla base dei quali la Vinted UAB ha trattato i loro dati, anche dopo che
avevano presentato le richieste di cancellazione.
30 Inoltre, tale giudice osserva che, nelle decisioni impugnate, l’Ispettorato ha
riscontrato che la Vinted UAB aveva violato l’articolo 5, paragrafo 1, lettera a), e
l’articolo 12, paragrafi 1 e 4, del RGPD perché, avendo valutato che non
sussistevano motivi per agire in risposta alla richiesta dell’interessato, non aveva
spiegato a quest’ultimo in modo trasparente, chiaro e semplice che: a) aveva
esaminato, ma non accertato, che al momento della richiesta sussistesse almeno
uno dei motivi di cui all’articolo 17, paragrafo 1, del RGPD per la cancellazione
dei .... ......... ....’............ .) ..... . .... ......... ....’........... .....
ancora (o avrebbero continuato ad essere) necessari per un determinato periodo di
tempo per finalità specifiche (elencando tali finalità) per le quali erano stati
raccolti o altrimenti trattati.
31 Secondo il giudice del rinvio, l’articolo 17, paragrafo 1, del RGPD può essere
interpretato in due modi: in primo luogo, esso conferisce all’interessato il diritto di
chiedere al ........ ... ........... .. ............. ... ...... .... ......... ., ..
secondo luogo, obbliga il ........ ... ........... . .......... .. ... ..... .....
indebito ritardo. Inoltre, tale diritto può essere esercitato quando è soddisfatta
almeno una delle sei condizioni di cui all’articolo 17, paragrafo 1, del RGPD.
Detto giudice sottolinea inoltre che, sebbene l’articolo 17 del RGPD non imponga
espressamente all’interessato l’obbligo di motivare la sua richiesta di
cancellazione, tale articolo fornisce un elenco esaustivo dei motivi che possono
essere invocati a sostegno di detta richiesta, nonché un elenco esaustivo delle
situazioni in cui il ........ ... ........... .. .. ....... .. .......... .... ..........
32 Il giudice del rinvio, tra l’altro, tenendo conto del punto 23 del parere 39/2021,
secondo cui i motivi per cui i .... ......... .. .. ........... ...... ......
cancellati potrebbero non essere noti a quest’ultimo o potrebbe essere difficile per
l’interessato essere a conoscenza di tali motivi, si chiede se il principio di
trasparenza di cui all’articolo 5, paragrafo 1, lettera a), e all’articolo 12, paragrafi
1 e 4, del RGPD comporti l’obbligo per il ........ ... ........... .. .........
l’interessato dell a sua valutazione di tutti i motivi di cancellazione, qualora la
richiesta di cancellazione non specifichi alcuno dei motivi di cui all’articolo 17,
paragrafo 1, del RGPD.
33 Inoltre, poiché il RGPD non specifica in che modo debba essere giustificato il
rifiuto di dare seguito al diritto alla cancellazione, il giudice del rinvio nutre dubbi
circa la portata del principio di trasparenza, qualora un ........ ... ...........
rifiuti di accogliere una richiesta di cancellazione dei .... ......... .......... ..
sensi dell’articolo 17 del RGPD.
VINTED
13
34 Pertanto, tenuto conto delle spiegazioni fornite nel considerando 39 del RGPD sul
significato e sull’impatto del principio di trasparenza sul trattamento dei dati,
nonché dei punti da 8 a 12 delle linee -guida sulla trasparenza, che spiegano le
espressioni «forma concisa, trasparente (...) e facilmente accessibile» e
«linguaggio semplice e chiaro», il giudice del rinvio nutre dubbi sulla circostanza
che un ............ ... ..........., ...... ....... .. .......... . .... ......... ..
sensi dell’articolo 17 del RGPD, debba, in base al principio di trasparenza, fornire
all’interessato informazioni dettagliate sul trattamento successivo dei dati,
comprese le finalità, le categorie di dati, le operazioni effettuate e la ba se giuridica
applicata.
35 Per quanto riguarda le questioni sesta e settima, il giudice del rinvio precisa che,
nel caso dell’interessata C.B.M., l’Ispettorato ha constatato che il trattamento dei
dati personali effettuato dalla Vinted UAB, applicando la pratica dello shadow
banning, era illegittimo e non soddisfaceva il criterio dell’interesse legittimo di cui
all’articolo 6, paragrafo 1, lettera f), del RGPD, in quanto non era stato garantito
un equilibrio adeguato tra gli interessi del ........ ... ........... . ......
dell’intere ssata (l’interessata non poteva ragionevolmente aspettarsi che i suoi dati
fossero trattati in tal modo e gli obiettivi perseguiti avrebbero potuto essere
raggiunti con modalità meno restrittive della sua privacy; un siffatto trattamento
ha inciso negativamente in modo sproporzionato sugli interessi e sui diritti
fondamentali dell’interessata).
36 Dopo aver valutato le spiegazioni fornite dalla Vinted UAB in merito alla nozione
di shadow banning, il paragrafo 12.1 delle Condizioni generali (che stabilisce che
gli utenti non vengono avvertiti della restrizione all’accesso alla piattaforma
qualora sia necessario un intervento immediato per proteggere altri utenti della
stessa, visitatori e terzi, o per garantire la sicurezza e l’integrità della piattaforma)
e l’Informativa sulla ....... (... ...... ... ..... . .... ..... ...... ....... ......
trattati ai fini dell’esecuzione della restrizione , ma non distingue tra i diversi tipi
di restrizione ), il giudice del rinvio conclude che, nell’applicare lo shadow
banning, la Vinted UAB si è basata sull’articolo 6, paragrafo 1, lettera f), del
RGPD, ossia i l legittim o interess e del ........ ... ........... . .. ..... (.. ..ù
ampia comunità della Vinted UAB) come base giuridica per il trattamento dei dati
personali degli utenti i cui account sono stati sospesi.
37 Il giudice del rinvio, tenendo conto dell’articolo 5, paragrafo 1, lettera a), del
RGPD, nonché delle disposizioni degli articoli 13 e 14 del RGPD, come
interpretati dalla Corte di giustizia nella sentenza del 28 novembre 2024, Másdi
(C -169/23, punto 49), osserva che l’articolo 14, paragrafo 5, lettera b), del RGPD
prevede un’eccezione limitata all’obbligo di notifica, consentendo ai responsabili
del trattamento di astenersi dalla notifica (anche quando questa riguarda
informazioni sui legittimi interessi p erseguiti) qualora ciò «comprometta
gravemente» le finalità del trattamento, a condizione che il trattamento stesso sia
conforme a tutti i principi di trattamento dei dati di cui all’articolo 5 del RGPD. Il
giudice del rinvio fa inoltre riferimento al punto 65 delle linee -guida sulla
trasparenza, secondo cui, per avvalersi di tale eccezione, il ........ ... ...........
SINTESI DELLA DOMANDA DI PRONUNCIA PREGIUDIZIALE – CAUSA C-730/25
14
deve dimostrare che fornire le informazioni di cui all’articolo 14, paragrafo 1, del
RGPD vanificherebbe gli obiettivi del trattamento dei dati di cui trattasi e deve
garantire che il trattamento soddisfi tutti i principi di cui all’articolo 5 del RGPD.
38 Il giudice del rinvio ritiene che quanto sopra possa essere rilevante nei casi di
shadow banning, in cui la notifica delle misure di sicurezza agli utenti potrebbe
comprometterne l’efficacia. Tuttavia, a suo avviso, per poter invocare tale
eccezione e non procedere alla notifica immediata, i responsabili del trattamento
devono dimostrare che fornire informazioni prima dell’inizio del trattamento
comprometterebbe gli obiettivi dell’intera operazione di trattamento.
39 Infine, il giudice del rinvio osserva che, sebbene tali requisiti siano chiaramente
indicati nel testo del RGPD, tale testo non specifica la forma esatta, i tempi o il
livello di dettaglio delle informazioni da comunicare, e che , inoltre, non risulta
esservi giurisprudenza della Corte di giustizia sullo specifico ambito di
applicazione degli obblighi di trasparenza di cui agli articoli 13 e 14 del RGPD, in
particolare per quanto riguarda l’applicazione dell’articolo 14, paragrafo 5, lettera
b), del RGPD in circostanze quali lo shadow banning.
Link: https://curia.europa.eu/juris/showPdf.jsf?text=&do
Testo del 2026-01-05 Fonte: europa.eu
Demo Altre chiavi solo per gli iscritti
Commenta
i commenti sono anonimi e inviati via mail e cancellati dopo aver migliorato la voce alla quale si riferiscono: non sono archiviati; comunque non lasciare dati particolari. Si applica la privacy policy.
