Corte di Giustizia Europea e Privacy: il consenso deve essere libero, specifico, informato e univoco
La Corte di Giustizia Europea con la Sentenza nella causa C-61/19 Orange România SA/Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) dell’ 11 Novembre 2020 ha affermato che un contratto di fornitura di servizi di telecomunicazione contenente una clausola secondo cui il cliente ha acconsentito alla raccolta e alla conservazione del suo documento di identità, non può dimostrare che egli ha validamente prestato il suo consenso qualora la relativa casella sia stata selezionata dal responsabile del trattamento prima della sottoscrizione del contratto
Lo stesso vale quando il consumatore sia indotto in errore circa la possibilità di stipulare il contratto in caso di rifiuto al trattamento dei suoi dati, o quando la libera scelta di opporsi a tale raccolta e a tale conservazione sia pregiudicata dall’obbligo di compilare un modulo supplementare che esprima tale rifiuto
L’Orange România è una Società rumena nel campo della fornitura di servizi di telecomunicazione mobile.
Il 28 marzo 2018 l’Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (Autorità nazionale di sorveglianza del trattamento dei dati personali, Romania) le ha inflitto un’ammenda per aver raccolto e conservato le copie dei documenti d’identità di suoi clienti senza il loro consenso espresso.
Infatti, secondo l’ANSPDCP, l’Orange România avrebbe stipulato contratti di fornitura contenenti una clausola in forza della quale i clienti sono stati informati e hanno acconsentito alla raccolta e alla conservazione di una copia del loro documento di identità a fini di identificazione.
Ma la casella relativa a tale clausola è stata selezionata dal responsabile del trattamento prima della sottoscrizione del contratto.
All’uopo il Tribunalul București (Tribunale superiore di Bucarest, Romania) ha domandato alla Corte di Giustizia Europea, attraverso il rinvio pregiudiziale[1], di indicare le condizioni alle quali il consenso dei clienti al trattamento dei dati personali può essere considerato valido o meno.
Nella sua odierna sentenza la Corte afferma, innanzi tutto, che il diritto dell’Unione1 prevede un elenco dei casi in cui il trattamento di dati personali può essere considerato lecito. In particolare, il consenso dell’interessato deve essere libero, specifico, informato e univoco. A tale riguardo il consenso non è validamente prestato in caso di silenzio, di caselle preselezionate o di inattività. Inoltre, qualora il consenso dell’interessato sia prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la dichiarazione deve essere presentata in forma comprensibile e facilmente accessibile ed essere formulata in un linguaggio semplice e chiaro.
Dunque per garantire all’interessato una vera libertà di scelta, le clausole contrattuali non devono indurlo in errore circa la possibilità di stipulare il contratto anche qualora egli rifiuti di acconsentire al trattamento dei suoi dati.
Nel caso di specie, continua la Corte, poiché i clienti in oggetto non hanno mai selezionato autonomamente la casella relativa alla raccolta e alla conservazione delle copie del loro documento d’identità, il mero fatto che tale casella sia stata spuntata non è idoneo a dimostrare una manifestazione positiva del loro consenso o l’esistenza di un valido consenso prestato dai clienti della Società.
Orbene spetta al giudice nazionale effettuare le necessarie verifiche a tale riguardo e valutare se le clausole contrattuali di cui trattasi potessero o meno indurre i clienti interessati in errore circa la possibilità di stipulare il contratto nonostante il rifiuto di acconsentire al trattamento dei propri dati, in assenza di precisazioni su tale punto.
La Corte giunge pertanto alla conclusione che un contratto relativo alla fornitura di servizi di telecomunicazione contenente una clausola secondo cui l’interessato è stato informato e ha acconsentito alla raccolta e alla conservazione di una copia del suo documento di identità a fini di identificazione non è idoneo a dimostrare che tale persona abbia validamente prestato il proprio consenso a tale raccolta e a tale conservazione, qualora la casella relativa a questa clausola sia stata selezionata dal responsabile del trattamento dei dati prima della sottoscrizione di tale contratto, qualora le clausole contrattuali di detto contratto possano indurre in errore la persona interessata circa la possibilità di stipulare il contratto in questione anche se essa rifiuta di acconsentire al trattamento dei suoi dati, o qualora la libera scelta di opporsi a tale raccolta e a tale conservazione sia indebitamente pregiudicata da detto responsabile esigendo che la persona interessata, per esprimere il proprio rifiuto a prestare il consenso a tali trattamenti, compili un modulo supplementare che attesta tale rifiuto.
Si riportano le conclusioni della Corte: “L’articolo 2, lettera h), e l’articolo 7, lettera a), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, nonché l’articolo 4, punto 11, e l’articolo 6, paragrafo 1, lettera a), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), devono essere interpretati nel senso che spetta al responsabile del trattamento dei dati dimostrare che la persona interessata, mediante un comportamento attivo, ha manifestato il proprio consenso al trattamento dei suoi dati personali e che essa ha ottenuto, previamente, un’informazione alla luce di tutte le circostanze che corredano tale trattamento, in forma comprensibile e facilmente accessibile e con un linguaggio semplice e chiaro, che le consenta di individuare agevolmente le conseguenze del consenso prestato, affinché sia garantito che questo sia espresso con piena cognizione di causa. Un contratto relativo alla fornitura di servizi di telecomunicazione che contiene una clausola secondo cui l’interessato è stato informato e ha acconsentito alla raccolta e alla conservazione di una copia del suo documento di identità a fini di identificazione non è idoneo a dimostrare che tale persona abbia validamente manifestato il proprio consenso, nell’accezione di tali disposizioni, a tale raccolta e conservazione, qualora
– la casella relativa a tale clausola sia stata selezionata dal responsabile del trattamento dei dati prima della sottoscrizione di tale contratto, o qualora
– le clausole contrattuali di detto contratto possano indurre in errore la persona interessata circa la possibilità di stipulare il contratto in questione anche se essa rifiuta di acconsentire al trattamento dei suoi dati, o qualora
– la libera scelta di opporsi a tale raccolta e a tale conservazione sia indebitamente pregiudicata da detto responsabile esigendo che la persona interessata, per rifiutare il proprio consenso, compili un modulo supplementare che attesti tale rifiuto”.
[1] Il rinvio pregiudiziale consente ai giudici degli Stati membri, nell’ambito di una controversia della quale sono investiti, di interpellare la Corte in merito all’interpretazione del diritto dell’Unione o alla validità di un atto dell’Unione. La Corte non risolve la controversia nazionale. Spetta al giudice nazionale risolvere la causa conformemente alla decisione della Corte. Tale decisione vincola egualmente gli altri giudici nazionali ai quali venga sottoposto un problema simile.