Con la sentenza emessa nella causa C-61/19 la Corte di Giustizia tratta nuovamente il tema del consenso al trattamento dei dati personali dell’interessato.
In questo contributo diamo uno sguardo ai principi espressi dalla Corte con riguardo ai requisiti del consenso e alla sua valida manifestazione.
Il caso
La causa principale ha ad oggetto la sanzione comminata dal Garante della privacy rumeno alla Orange Romania SA per violazione della normativa sulla privacy.
La società veniva sanzionata per aver raccolto e conservato i documenti d’identità dei propri clienti senza il loro consenso espresso. All’atto di stipula dei contratti di fornitura dei servizi di telecomunicazione mobile essa richiedeva ai propri clienti il consenso per la raccolta e conservazione di una copia dei loro documenti.
Il consenso veniva attestato dal titolare del trattamento, prima della firma del contratto, con la spunta di una casella presente nella clausola contrattuale. Inoltre, l’interessato veniva informato solo verbalmente della possibilità di non prestare il proprio consenso e che il suo rifiuto non avrebbe precluso la conclusione del contratto. Il rifiuto doveva però essere documentato sul contratto con un’annotazione a mano ad opera dell’interessato.
La decisione
Secondo la Corte di Giustizia, il consenso espresso mediante una clausola come quella oggetto della causa principale non può essere ritenuto valido. Essa infatti non è idonea a dimostrare che l’interessato abbia validamente manifestato il proprio consenso al trattamento dei propri dati personali.
La motivazione
Il consenso rappresenta una delle sei basi giuridiche individuate dal regolamento 2016/679 su cui il titolare del trattamento può fondare il trattamento dei dati personali.
Per essere considerato valido, il consenso dell’interessato deve essere:
➤ Libero
➤ Specifico
➤ Informato
➤ Inequivocabile
Tutti questi requisiti devono sussistere congiuntamente. In aggiunta, il regolamento precisa che il consenso va prestato mediante dichiarazione o azione positiva inequivocabile. Ne consegue che solo il consenso prestato mediante un comportamento attivo dell’interessato può essere ritenuto valido.
Secondo la Corte, la clausola relativa al trattamento dei dati contenente una casella già selezionata dal titolare del trattamento non è idonea a dimostrare una manifestazione attiva del consenso dell’interessato. Richiamando la sua precedente giurisprudenza, essa afferma che non è possibile escludere che l’interessato abbia omesso di leggere la casella preselezionata. Se il consenso viene prestato nell’ambito di una dichiarazione scritta che riguarda anche altre questioni, la clausola dovrà essere resa in conformità all’art. 7, secondo comma, del regolamento 2016/679 il quale dispone che:
la richiesta di consenso è presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro.
In linea con le conclusioni dell’Avvocato Generale, la Corte precisa che richiedere all’interessato di rifiutare il trattamento mediante annotazione a mano nel contratto confligge con il carattere libero del consenso. Inoltre, l’indicazione nel contratto secondo cui i documenti sono conservati a scopo d’identificazione senza alcuna precisazione ulteriore contrasta con l’art. 13 del regolamento. Da ultimo, la possibilità di concludere il contratto pur in presenza del rifiuto al trattamento dei dati personali è tale da indurre in errore l’interessato.
Conclusioni
La sentenza ha il pregio di chiarire ulteriormente le caratteristiche del consenso al trattamento dei dati personali alla luce del regolamento 2016/679.
Alcuni dei principi espressi in questo caso erano già stati pronunciati con la sentenza emessa nella causa Planet49 GmbH (causa C-673/17) più volte richiamata dalla Corte. Inoltre, la sentenza in oggetto è successiva all’aggiornamento delle linee guida sul consenso emanate dal EDPB (European Data Protection Board – Linee guida 05/2020 sul consenso nel regolamento 2016/679).
Da sottolineare che pur applicando il regolamento 2016/679, i fatti della causa principale fanno riferimento ad avvenimenti precedenti alla sua entrata in vigore. Per questo motivo la sentenza non va ad introdurre nulla di nuovo rispetto al panorama esistente, bensì specifica solamente principi già espressi in precedenza. Ciò sta a significare che non vi saranno ricadute inaspettate sui titolari del trattamento a seguito del presente pronunciamento.
