La Suprema Corte con sentenza del 2 Luglio 2018, n. 17278, affronta in modo preciso la tematica del consenso al trattamento dei dati personali partendo dall’esame delle norme del Codice della Privacy, anche alla luce della vigente normativa europea GDPR.
Il caso in esame
Una Società offriva tramite il proprio portale internet un servizio di newsletter su tematiche legate alla finanza, al fisco e al diritto del lavoro.
Per accedere alla newsletter l’utente doveva fornire il proprio indirizzo e-mail e, in calce al form di raccolta dati, era presente una casella di spunta (ed. checkbox) con la quale il contraente poteva esprimere il consenso «al trattamento dei dati personali».
Inviando la richiesta di iscrizione senza validare la casella del consenso non era possibile accedere al servizio e appariva il messaggio «è richiesta la selezione della casella».
La pagina web non specificava in cosa consistesse il «trattamento dei dati personali» e quali effetti producesse: solamente attraverso un apposito link, l’utente poteva visionare la normativa sulla privacy la quale spiegava che i dati personali acquisiti attraverso l’iscrizione alla newsletter sarebbero stati utilizzati non solo per la fornitura di tale servizio, ma anche per l’invio di comunicazioni promozionali nonché di informazioni commerciali da parte di terzi.
Il Tribunale di Arezzo accoglieva l’opposizione presentata dalla Società avverso il provvedimento del Garante n. 427 del 25 Settembre 2014, con il quale l’Autorità aveva dichiarato l’illiceità del trattamento dei dati personali per finalità promozionali vietandone il trattamento e aveva prescritto alla Società di adottare le misure necessarie affinché gli interessati potessero esprimere uno specifico consenso.
La pronuncia della Cassazione
La Cassazione, con la pronuncia in commento, pone definitivamente l’accento sulle caratteristiche irrinunciabili del consenso, il quale deve essere espresso liberamente e specificamente in riferimento ad ogni singolo trattamento da individuarsi in modo chiaro.
Il consenso risponde all’esigenza di tutelare il contraente debole dai rischi derivanti, da un lato dall’asimmetria informativa e, dall’altro, dal pericolo del trattamento in massa di dati personali a scopi commerciali.
Con l’obiettivo di delimitare e identificare il concetto stesso di consenso, la Suprema Corte afferma che esso non può limitarsi ad un consenso di tipo negoziale ma deve essere “rafforzato” e, quindi, ricondotto alla nozione di “consenso informato” – già ampiamente impiegato in altri ambiti, come per esempio quello sanitario.
Le ragioni si fondano sull’esame della normativa in tema di protezione dati e in particolare sull’art. 23 Cod. Privacy (oggi abrogato dal D.Lgs. 101/2018) il quale dettava i requisiti per poter considerare il trattamento lecito:
- Trattamento dei dati è ammesso solo con espresso consenso dell’interessato;
- Il consenso può riguardare l’intero trattamento ovvero una o più operazioni dello stesso;
- Il consenso è validamente prestato solo se è liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto e se sono state rese all’interessato le informazioni di cui all’art. 13.
Ora, prendendo le mosse dal dettato normativo, la Corte specifica che il consenso così definito deve essere necessariamente un di più rispetto al generale consenso negoziale, ossia di un consenso prestato dal soggetto capace di intendere e volere e non viziato da errore, violenza o dolo.
Diversamente argomentando, dice la Suprema Corte, si renderebbe superflua la previsione normativa del Codice Privacy, dunque, deve necessariamente consistere in un consenso “rafforzato” volto a tutelare la parte contraente più debole.
Può quindi essere ricondotto, dice la Corte, alla nozione di “consenso informato”, anche alla luce degli obblighi informativi richiesti esplicitamente con riferimento all’informativa ex art. 13.
Corre l’obbligo di sottolineare che l’art. 23 citato dalla Cassazione, risulta oggi abrogato dal menzionato Decreto di adeguamento dell’ordinamento nazionale al regolamento UE n. 2016/679 (D. Lgs. n. 101/2018); tuttavia, ciò non ha scalfito i principi in materia.
È evidente che i fatti oggetto di causa sono avvenuti in data anteriore all’entrata in vigore del Regolamento europeo in materia di data protection, e ciò giustifica il riferimento alla previgente normativa nazionale. Tuttavia, la Suprema Corte nel ribadire la centralità del dettato normativo dell’art. 23 Codice Privacy, ha esplicitamente fatto riferimento a quanto previsto dal GDPR.
Infatti, il Regolamento europeo, oggi legge primaria di riferimento operativo dal 25 Maggio 2018, rende le cose ancora più chiare e definisce il consenso come “qualsiasi manifestazione di volontà, libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso che i dati personali che lo riguardino siano oggetto di trattamento” (cfr. art. 4 n. 11 GDPR).
Va da sé che il termine “specifico” indica proprio il fatto che il consenso deve essere rilasciato per ogni singola finalità di trattamento.
Inoltre, il considerando 32 richiede che il consenso sia fornito mediante un atto positivo ed inequivocabile e che “qualora il trattamento abbia più finalità, il consenso dovrebbe essere prestato per tutte queste”.
Per precisione, occorre sottolineare che la pronuncia in commento è antecedente all’emanazione del Decreto di adeguamento 101/2018, il quale ha inciso profondamente sul Codice della privacy andando necessariamente ad abrogare previsioni che oggi sono disciplinate in via diretta dal Regolamento europeo.
Ciò non toglie alcuna valenza alla pronuncia in esame proprio perché gli Ermellini hanno volutamente fornito un’applicazione della norma nazionale senza tralasciare il mutato quadro dispositivo e, anzi, riferendosi allo stesso.
Ciò si evince ancora con riguardo alla questione affrontata dalla Corte riguardante l’offerta di un servizio di newsletter condizionata al rilascio del consenso all’utilizzo dei dati personali anche per scopi pubblicitari.
La sentenza rinvia all’art. 7 del Regolamento in materia di condizioni del consenso il cui comma 4 afferma che “Nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l’eventualità, tra le altre, che l’esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all’esecuzione di tale contratto”.
Pertanto, il consenso deve presentarsi come libero e specifico, nel senso che l’interessato deve essere posto nelle condizioni di comprendere quali saranno gli effetti del consenso.
Infatti, afferma esplicitamente la Suprema Corte: “È dunque senz’altro da escludere che il consenso possa dirsi specificamente, e dunque anche liberamente, prestato in un’ipotesi in cui, ove gli effetti del consenso non siano indicati con completezza accanto ad una specifica «spunta» apposta sulla relativa casella di una pagina Web, ma siano invece descritti in altra pagina Web linkata alla prima, non vi sia contezza che l’interessato abbia consultato detta altra pagina, apponendo nuovamente una diversa «spunta» finalizzata a manifestare il suo consenso”.
Il principio di diritto
La Corte di Cassazione, quindi, respingendo la generica nozione di consenso adottata dal Tribunale di Arezzo nell’accogliere l’opposizione promossa dalla Società che gestisce il sito giuridico, ha così riassunto la linea di principio da seguire:
“In tema di consenso al trattamento dei dati personali, la previsione dell’articolo 23 del Codice della privacy, nello stabilire che il consenso è validamente prestato solo se espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, consente al gestore di un sito Internet, il quale somministri un servizio fungibile, cui l’utente possa rinunciare senza gravoso sacrificio (nella specie servizio di newsletter su tematiche legate alla finanza, al fisco, al diritto e al lavoro), di condizionare la fornitura del servizio al trattamento dei dati per finalità pubblicitarie, sempre che il consenso sia singolarmente ed inequivocabilmente prestato in riferimento a tale effetto, il che comporta altresì la necessità, almeno, dell’indicazione dei settori merceologici o dei servizi cui i messaggi pubblicitari saranno riferiti».
