Corte di giustizia, Sentenza C-673/17

Consenso ai cookie mediante casella preselezionata

La pronuncia riguarda un rinvio pregiudiziale del Bundesgerichtshof in una controversia tra un’associazione di consumatori tedesca e Planet49 GmbH, società che organizzava un gioco a premi online. Il tema centrale è la validità del consenso dell’utente all’archiviazione e all’accesso a informazioni sul suo terminale tramite cookie, nonché il contenuto dell’informazione preventiva da fornire.

Fatti e procedimento principale

Planet49 faceva partecipare gli utenti a un gioco a premi previa compilazione di un modulo online. Sotto i campi anagrafici comparivano due caselle di spunta: la prima non preselezionata, relativa a comunicazioni pubblicitarie da sponsor e partner; la seconda già preselezionata, relativa all’installazione di cookie per analizzare la navigazione e inviare pubblicità mirata. La partecipazione era possibile solo dopo la selezione almeno della prima casella.

La federazione tedesca dei consumatori ha contestato le clausole e ha ottenuto un primo accoglimento parziale in sede di primo grado. In appello, la società ha sostenuto la validità del meccanismo di consenso. Il Bundesgerichtshof ha quindi chiesto alla Corte di interpretare la direttiva 2002/58, la direttiva 95/46 e il regolamento 2016/679.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto, in sostanza:

• se il consenso ai sensi dell’articolo 5, paragrafo 3, della direttiva 2002/58 possa essere validamente espresso tramite una casella preselezionata;
• se la risposta muti quando i cookie riguardino dati personali;
• se, in tal caso, sia rilevante anche l’articolo 6, paragrafo 1, lettera a), del regolamento 2016/679;
• quali informazioni debbano essere comunicate all’utente per un consenso informato, in particolare circa la durata dei cookie e l’accesso di terzi.

Normativa rilevante

La Corte richiama:

• l’articolo 2, lettera f), e l’articolo 5, paragrafo 3, della direttiva 2002/58;
• l’articolo 2, lettera h), e l’articolo 7, lettera a), della direttiva 95/46;
• l’articolo 4, punto 11, l’articolo 6, paragrafo 1, lettera a), l’articolo 7, paragrafo 4, e l’articolo 13 del regolamento 2016/679;
• il considerando 17 della direttiva 2002/58 e il considerando 32 del regolamento 2016/679.

La Corte osserva anche che, dal 25 maggio 2018, la direttiva 95/46 è stata abrogata e sostituita dal regolamento 2016/679, ma entrambe le fonti possono rilevare in base al periodo e alla natura della domanda proposta nel procedimento principale.

Ragionamento della Corte sul consenso

La Corte afferma che il consenso, per essere valido, deve derivare da un comportamento attivo dell’utente. Il riferimento dell’articolo 2, lettera h), della direttiva 95/46 a una «manifestazione di volontà» e la previsione dell’articolo 7, lettera a), secondo cui il consenso deve essere espresso in maniera inequivocabile, escludono che il silenzio o l’inattività possano bastare.

Una casella preselezionata non richiede alcuna azione positiva dell’utente e quindi non consente di accertare in modo affidabile un consenso informato. La Corte valorizza anche la modifica introdotta dalla direttiva 2009/136, che ha sostituito il semplice diritto di rifiuto con la necessità di esprimere preliminarmente il consenso. Il regolamento 2016/679 conferma questa impostazione, poiché richiede una manifestazione libera, specifica, informata e inequivocabile mediante dichiarazione o azione positiva inequivocabile.

Di conseguenza, il consenso non è validamente espresso quando l’installazione o l’accesso ai cookie è autorizzato tramite una casella preselezionata che l’utente deve deselezionare per opporsi.

Irrilevanza della natura personale o meno delle informazioni archiviate

La Corte esclude che la disciplina cambi a seconda che i dati memorizzati o letti tramite cookie siano o meno dati personali. L’articolo 5, paragrafo 3, della direttiva 2002/58 tutela l’utente da qualsiasi ingerenza nella sfera privata derivante dall’archiviazione o dall’accesso a informazioni sul terminale, senza qualificare tali informazioni come dati personali.

Il considerando 24 della direttiva 2002/58 conferma che ogni informazione archiviata nel terminale rientra nella sfera privata dell’utente. Ne segue che la regola sul consenso si applica in modo uniforme, indipendentemente dalla qualificazione dei dati.

Obblighi informativi: durata dei cookie e accesso di terzi

Quanto all’informazione preventiva, la Corte interpreta il requisito di informazione «chiara e completa» in modo sostanziale: l’utente deve poter comprendere agevolmente le conseguenze del consenso.

In questo quadro, rientrano tra le informazioni da fornire:

• il periodo di attività dei cookie, poiché una durata lunga o illimitata implica una raccolta più estesa di informazioni sul comportamento dell’utente;
• la possibilità o meno che terzi abbiano accesso ai cookie, perché ciò attiene ai destinatari o alle categorie di destinatari dei dati.

La Corte collega tale conclusione anche all’articolo 10 della direttiva 95/46 e all’articolo 13 del regolamento 2016/679, che richiedono informazioni sui destinatari e sul periodo di conservazione o sui criteri per determinarlo.

Dispositivo

La Corte risponde che:

• il consenso non è validamente espresso se i cookie sono autorizzati mediante una casella preselezionata che l’utente deve deselezionare;
• la soluzione non cambia se le informazioni archiviate o consultate sono dati personali o meno;
• il periodo di attività dei cookie e la possibilità per terzi di accedervi fanno parte delle informazioni da comunicare all’utente.

Principio affermato

La sentenza consolida un criterio rigoroso di consenso in materia di cookie: serve una scelta attiva, consapevole e specifica dell’utente, non una mera inerzia. Per gli operatori che utilizzano cookie o strumenti analoghi, ciò implica che il meccanismo di opt-in deve essere effettivo e che l’informativa deve essere sufficientemente dettagliata da consentire una decisione realmente informata.