Source: https://www.privacy.it/2018/07/02/cass-civ-17278-2018-newsletter-pubblicita/
Timestamp: 2019-01-18 13:45:36+00:00
Document Index: 116031342

Matched Legal Cases: ['sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ']

Cass. Civ. 17278/2018 - Newsletter, e-mail pubblicitarie e consenso - Privacy.it
Home>Normativa>Sentenze>Cass. Civ. 17278/2018 – Newsletter, e-mail pubblicitarie e consenso
Presidente (…) – Relatore (….)
1. – Con sentenza del 29 aprile 2016 il Tribunale di Arezzo ha accolto l’opposizione proposta ai sensi dell’articolo 152 D.Lgs. 30 giugno 2003, n. 196 (cd. Codice della privacy) da XY S.r.l. nei confronti dell’Autorità garante per la protezione di dati personali contro il provvedimento n. 427 del 25 settembre 2014 con qui quest’ultima:
a) aveva dichiarato illecito il trattamento dei dati personali posto in essere da XY S.r.l. per finalità promozionali, effettuato dalla medesima senza aver ottenuto un consenso libero e specifico degli interessati ex articoli 23 e 130 del Codice della privacy;
b) aveva vietato ad XY S.r.l., ai sensi degli articoli 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), dello stesso Codice, il trattamento dei dati personali di cui alla precedente lettera a), già raccolti, degli utenti registrati al servizio di newsletter per le finalità di invio di messaggi promozionali, ferma restando l’utilizzabilità degli stessi per la fornitura dei servizi;
c) aveva prescritto ad XY S.r.l., ai sensi degli articoli 143, comma 1, lett. b), 144 e 154, comma 1, lett. c) del Codice, qualora quest’ultima avesse inteso continuare ad utilizzare lo strumento della posta elettronica per l’invio di comunicazioni promozionali, di adottare le misure necessarie e opportune, atte a garantire la completa ottemperanza a quanto stabilito dagli articoli 23 e 130 del medesimo Codice, prevedendo la possibilità per gli interessati di esprimere uno specifico consenso e fornendone adeguata documentazione al Garante entro sessanta giorni dalla ricezione del provvedimento.
2. – Nel contraddittorio con il Garante, che ha resistito all’opposizione, l’adito Tribunale, per quanto rileva, ha osservato:
che non erano condivisibili le argomentazioni del Garante, il quale aveva sostenuto che il trattamento dei dati personali fossa stato effettuato in mancanza di un consenso prestato in conformità all’articolo 23 del Codice della privacy, dal momento che detta norma non era suscettibile di essere integrata con la previsione di obblighi, da essa non previsti, bensì introdotti da provvedimenti del Garante medesimo, quali le linee guida adottate in data 4 luglio 2013;
che, in particolare, doveva escludersi che il consenso espresso dall’utente nell’accedere alle prestazioni offerte da XY S.r.l. non potesse considerarsi «libero», giacché la norma non individua un obbligo tout court per il gestore del portale di offrire comunque le proprie prestazioni, a prescindere dal consenso al trattamento dei dati personali da parte dell’utente;
che, in definitiva, si era in presenza di un servizio prestato ad utenti che del tutto liberamente e volontariamente avevano optato per l’adesione allo stesso.
3. – Per la cassazione della sentenza l’Autorità garante per la protezione dei dati personali ha proposto ricorso per un motivo. XY S.r.l. ha resistito con controricorso.
2.1. – Come emerge dalla sentenza impugnata, e come è d’altronde incontroverso, XY S.r.l. offriva per il tramite del portale www.Z@*.it un servizio di newsletter su tematiche legate alla finanza, al fisco, al diritto e al lavoro. Per accedere alla newsletter era richiesto l’inserimento, da parte dell’utente, del proprio indirizzo e-mail e, in calce al form di raccolta dati, era presente una casella di spunta (ed. checkbox) con la quale il contraente poteva esprimere il consenso «al trattamento dei dati personali»; inviando la richiesta di iscrizione senza validare la casella del consenso non era passibile accedere al servizio e appariva il messaggio «è richiesta la selezione della casella». Non era evidenziato direttamente dalla pagina in cosa consistesse il «trattamento dei dati personali» e quali effetti producesse: è la stessa controricorrente a riferire, a pagina 2 del controricorso, che l’utente poteva visionare la normativa sulla privacy attraverso un apposito link ipertestuale che, una volta cliccato, specificava che i dati personali acquisiti attraverso l’iscrizione alla newsletter sarebbero stati utilizzati non solo per la fornitura di tale servizio, ma anche per l’invio di comunicazioni promozionali nonché di informazioni commerciali da parte di terzi.
il trattamento di dati personali è ammesso solo con il consenso espresso dell’interessato;
Il principio così posto si armonizza con ii dettato dall’articolo 2, lettera h) della direttiva 95/46/CE del Parlamento Europeo e del Consiglio del 24 ottobre 1995, che definisce il consenso come «qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento», direttiva in cui si chiarisce ulteriormente, all’articolo 7, che il trattamento dei dati personali può essere effettuato soltanto quando «la persona interessata ha manifestato il proprio consenso in maniera inequivocabile». Ed in una prospettiva di ulteriore specificazione del concetto, utile ad intendere anche la portata dal menzionato articolo 23, il «consenso dell’interessato», all’undicesima delle definizioni date in apertura del Regolamento (UE) 2016/679 del Parlamento Europeo e del consiglio del 27 aprile 2016 (cd. GDPR, General Data Protection Regulation), è inteso come: «qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento». Dopodiché il trentaduesimo considerando dello stesso testo aggiunge che: «Il consenso dovrebbe essere espresso mediante un atto positivo inequivocabile con il quale l’interessato manifesta l’intenzione libera, specifica, informata e inequivocabile di accettare il trattamento …».
in primo luogo, se il consenso dovesse essere inteso nella medesima accezione in cui esso è di regola richiesto a fini negoziali, la norma del Codice della privacy sarebbe superflua, non potendosi dubitare che, anche senza di essa, un trattamento dei dati senza consenso non sia ipotizzabile, dal momento che i dati personali costituiscono beni attinenti alla persona;
in secondo luogo il legislatore non discorre qui di un generico consenso, bensì di un consenso manifestato, oltre che espressamente, liberamente e specificamente, a condizione che all’interessato siano state previamente offerte le informazioni elencate dall’articolo 13 del Codice della privacy.
Tale lettura trova conferma nel rinvio al già citato articolo 13, il quale enumera le informazioni che devono essere fornite all’interessato prima che questi esprima il suo consenso, ed altresì nella previsione dell’articolo 11, comma 1, lett. b) e d) del Codice della privacy, il quale consente l’utilizzo dei dati solo per gli scopi per cui sono stati raccolti e che devono essere comunicati all’interessato prima che egli manifesti il suo consenso.
2.7. – La sentenza impugnata, in definitiva, adottando una nozione generica ed onnicomprensiva di consenso, non conforme ci dato normativo, non si è attenuta ai principi fin qui illustrati, che possono così riassumersi: «In tema di consenso al trattamento dei dati personali, la previsione dell’articolo 23 del Codice della privacy, nello stabilire che il consenso è validamente prestato solo se espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, consente al gestore di un sito Internet, il quale somministri un servizio fungibile, cui l’utente possa rinunciare senza gravoso sacrificio (nella specie servizio di newsletter su tematiche legate alla finanza, al fisco, al diritto e al lavoro), di condizionare la fornitura del servizio al trattamento dei dati per finalità pubblicitarie, sempre che il consenso sia singolarmente ed inequivocabilmente prestato in riferimento a tale effetto, il che comporta altresì la necessità, almeno, dell’indicazione dei settori merceologici o dei servizi cui i messaggi pubblicitari saranno riferiti». La sentenza va dunque cassata senza rinvio e, decidendo nel merito, va rigettata l’opposizione originariamente spiegata da XY S.r.l..
accoglie il ricorso, cassa la sentenza impugnata e, decidendo nel merito, rigetta l’opposizione proposta da XY S.r.l. nei confronti dell’ Autorità Garante per la Protezione dei Dati Personali, condannando la controricorrente al rimborso, in favore della ricorrente, delle spese sostenute per il giudizio di merito, liquidate in complessivi Euro 4.800,00 di cui Euro 200,00 per esborsi ed il resto per compenso, oltre alle spese forfettarie nella misura del 15% ed agli accessori di legge, nonché delle spese sostenute per questo giudizio di legittimità, liquidate in complessivi Euro 5.200,00, di cui Euro 200,00 per esborsi ed il resto per compenso, oltre alle spese forfettarie nella misura del 15% ed agli accessori di legge.
eprivacr	2018-07-03T11:18:50+00:00	2 luglio 2018|Sentenze|