E-commerce e privacy, la sentenza UE cambia le regole: le novità per marketplace, venditori e gestori di piattaforme

Gli e-commerce non possono più considerarsi semplici intermediari neutrali, ma sono responsabili diretti della tutela della privacy degli utenti. Lo ha stabilito una sentenza della Corte di giustizia dell’Unione europea del 2 dicembre 2025. La pronuncia sul caso C-492/23 produce effetti immediati in tutti gli Stati membri, Italia compresa, ridefinendo gli obblighi di marketplace, venditori e gestori di piattaforme digitali. Per chi opera nel commercio elettronico, comprendere le nuove regole sulla privacy degli e-commerce diventa urgente per evitare sanzioni e adeguare i propri processi aziendali.

Il conflitto normativo risolto dalla Corte UE: GDPR vs Digital Services Act, quale prevale?

La sentenza nasce dalla necessità di chiarire un’apparente contraddizione tra due pilastri normativi europei:

• il GDPR (Regolamento UE 2016/679), che impone standard elevati di sicurezza e correttezza nel trattamento dei dati personali, con responsabilità precise per chi gestisce informazioni altrui;
• il Digital services act e la precedente direttiva e-commerce, che garantivano invece una “safe harbor” alle piattaforme che si limitavano a ospitare contenuti, senza obbligo di controllo preventivo.

Fino a oggi, la maggior parte dei gestori di marketplace riteneva sufficiente rimuovere tempestivamente i contenuti illeciti segnalati, senza dover implementare verifiche preliminari. La Corte UE ha però stabilito che questa interpretazione non vale quando sono coinvolti dati personali e violazioni della privacy.

Il principio: le piattaforme non sono mai “neutrali” sui dati

Secondo i giudici europei, chi gestisce un marketplace beneficia economicamente della pubblicazione di annunci e ne determina le modalità tecniche di diffusione. Questo duplice ruolo impedisce di invocare la neutralità quando vengono trattati dati personali di terzi.

Il caso rumeno che ha cambiato le regole: violazione grave della dignità personale

La vicenda che ha portato alla sentenza C-492/23 riguarda una donna rumena vittima di un annuncio fraudolento su una piattaforma di vendita online. Un utente anonimo aveva pubblicato un’inserzione che la presentava come disponibile per prestazioni sessuali, diffondendo senza consenso: il suo numero di telefono personale, fotografie private e informazioni false sulla sua presunta attività.

L’annuncio è stato rapidamente copiato e ripubblicato su altri siti, amplificando esponenzialmente il danno. Nonostante la rimozione da parte della piattaforma originaria entro un’ora dalla segnalazione, la donna ha ottenuto ragione davanti ai giudici europei.

Perché la rimozione rapida non è bastata

La Corte ha stabilito che la velocità di rimozione non esonera la piattaforma da responsabilità quando il contenuto illecito riguarda dati personali. Il gestore avrebbe dovuto: verificare preventivamente la presenza di dati riferibili a terzi; richiedere prova del consenso o di altra base giuridica; implementare misure tecniche contro la replica su altri siti.

Il principio di contitolarità del trattamento: cosa significa

L’elemento più dirompente della sentenza è l’applicazione dell’articolo 26 del GDPR, che introduce il concetto di contitolarità del trattamento dati tra piattaforma e inserzionista. Questa qualificazione giuridica comporta che:

• non è più possibile scaricare interamente la responsabilità su chi pubblica l’annuncio;
• la piattaforma diventa corresponsabile per eventuali violazioni della privacy;
• entrambi i soggetti devono garantire il rispetto del GDPR.

Le piattaforme sono considerate contitolari perché il vantaggio economico è condiviso (la piattaforma guadagna dalla pubblicazione come l’inserzionista) e la piattaforma definisce tecnicamente come, dove e quando i dati vengono resi pubblici. Questa doppia condizione rende impossibile invocare il ruolo di “mero intermediario tecnico”.

“La decisione della Corte segna un punto di svolta nella definizione di responsabilità nel digitale – afferma Alberto Caschili, consulente per il mercato digitale in Italia -. Considerare piattaforme e inserzionisti come contitolari del trattamento significa che chi gestisce l’infrastruttura tecnologica non può più limitarsi a un ruolo di mero intermediario. Questa qualificazione comporta implicazioni legali immediate per le piattaforme che devono assumersi la responsabilità per eventuali violazioni della privacy, ridefinendo contratti, policy e rapporti con i venditori. Si tratta di un cambio di paradigma che impone un ripensamento strutturale dei modelli di business del commercio elettronico”.

Gli obblighi operativi per chi gestisce e-commerce

Le nuove regole sulla privacy per gli e-commerce impongono alle piattaforme di implementare controlli sistematici prima della pubblicazione di ogni annuncio.

“Dal punto di vista operativo – prosegue Caschili – la pronuncia impone misure preventive più stringenti. Prima della pubblicazione le piattaforme dovranno verificare se un annuncio contenga dati personali riferibili a terzi e assicurarsi dell’esistenza di una base giuridica per la diffusione. Inoltre, sarà necessario impedire tecnicamente che contenuti potenzialmente lesivi vengano copiati e replicati su altri siti, limitando così la propagazione del danno. Ciò richiede investimenti in sistemi di moderazione avanzati, procedure interne rigorose e formazione del personale, con evidenti ricadute organizzative e operative per tutti i mercati digitali”.

Scenari futuri: cosa aspettarsi nel 2026

La pronuncia apre diversi scenari di interesse. È ragionevole attendersi che le piattaforme di maggiori dimensioni procedano alla revisione dei propri termini di servizio e alla formalizzazione di accordi di contitolarità con gli inserzionisti professionali. 

I principi affermati dalla Corte sembrano inoltre applicabili non soltanto ai dati sensibili, ma a qualsiasi categoria di informazione personale, ampliando ulteriormente la portata degli obblighi di vigilanza. Per i garanti nazionali si apre dunque un nuovo fronte di enforcement, mentre per gli operatori economici diventa urgente ripensare i propri processi di verifica e moderazione dei contenuti.

“La sentenza – conclude Caschili – anticipa un inevitabile rafforzamento del ruolo dei garanti nazionali nella vigilanza dei mercati online. Per le piattaforme diventa urgente aggiornare termini di servizio e policy e implementare processi di verifica sistematica dei contenuti. L’effetto è un cambio di prospettiva sulla compliance perché non è più sufficiente gestire i reclami ex post, ma si è chiamati a ricoprire un ruolo con responsabilità preventiva e strutturale nella protezione dei dati personali. Questo passaggio potrebbe ridisegnare il mercato digitale, privilegiando chi dimostra capacità organizzativa e attenzione alla privacy dei cittadini. Chi riuscirà ad adeguarsi sarà un esempio virtuoso e si metterà al riparo da possibili sanzioni. Agli altri non resta che accettare il rischio di sanzioni nel caso non siano in grado di conformarsi prontamente alla nuova impostazione”.