Corte di giustizia, Sentenza C-61/19

Consenso al trattamento dei dati personali e conservazione di copie di documenti d’identità

La pronuncia riguarda un rinvio pregiudiziale del Tribunalul Bucureşti in una controversia tra Orange România SA e l’autorità rumena di controllo della protezione dei dati. La Corte è chiamata a chiarire quando il consenso dell’interessato possa dirsi validamente prestato, nel contesto della raccolta e conservazione di copie di documenti d’identità da parte di un operatore di telecomunicazioni.

Fatti e procedimento principale

L’ANSPDCP aveva sanzionato Orange România per aver raccolto e conservato copie di documenti d’identità dei clienti senza dimostrare un valido consenso, ordinandone inoltre la distruzione. La decisione dell’autorità riguardava contratti di abbonamento stipulati per iscritto, nei quali era presente una clausola relativa alla conservazione delle copie dei documenti d’identità a fini identificativi.

Il giudice del rinvio rileva che, in alcuni contratti, la casella relativa a tale clausola risultava selezionata; in altri mancava la selezione. Rileva inoltre che, secondo la prassi interna dell’operatore, se il cliente rifiutava il consenso, doveva sottoscrivere un modulo specifico di rifiuto prima della conclusione del contratto. Da ciò il giudice nazionale dubita che la sottoscrizione del contratto sia sufficiente a provare un consenso valido.

Normativa rilevante

La Corte richiama:

• la direttiva 95/46, in particolare l’articolo 2, lettera h), sull’idea di consenso come manifestazione di volontà libera, specifica e informata, e l’articolo 7, lettera a), sul consenso come base di liceità;
• l’articolo 10 della medesima direttiva, relativo alle informazioni da fornire all’interessato al momento della raccolta;
• il regolamento (UE) 2016/679, in particolare l’articolo 4, punto 11, l’articolo 5, l’articolo 6, paragrafo 1, lettera a), l’articolo 7 e l’articolo 13;
• l’articolo 94, paragrafo 1, e l’articolo 99, paragrafo 2, del regolamento, per la questione dell’applicabilità temporale;
• l’articolo 267 TFUE, quale base del rinvio pregiudiziale.

Applicabilità temporale della direttiva e del regolamento

La Corte osserva che la decisione dell’ANSPDCP è anteriore al 25 maggio 2018, sicché la direttiva 95/46 si applica ratione temporis alla controversia principale. Tuttavia, poiché l’ingiunzione di distruggere le copie dei documenti d’identità potrebbe avere effetti anche dopo tale data, non si può escludere l’applicabilità ratione temporis del regolamento 2016/679 a tale profilo. Per fornire una risposta utile, la Corte esamina quindi entrambe le fonti.

Ragionamento della Corte sul consenso

La Corte ricorda che sia la direttiva 95/46 sia il regolamento 2016/679 prevedono un elenco esaustivo delle basi di liceità del trattamento. Il consenso è valido solo se espresso mediante una manifestazione di volontà attiva dell’interessato.

Sul piano dei requisiti sostanziali, il consenso deve essere:

• libero, cioè non condizionato in modo indebito dalla struttura contrattuale o da pressioni;
• specifico, nel senso che deve riferirsi precisamente al trattamento in questione e non può essere desunto da una dichiarazione generica o da un oggetto distinto;
• informato, cioè preceduto da un’informazione chiara, comprensibile e accessibile su identità del titolare, finalità, durata e modalità del trattamento;
• inequivocabile, con un atto positivo o un comportamento attivo dell’interessato.

La Corte sottolinea inoltre che, nel contesto del regolamento 2016/679, il titolare deve presentare la richiesta di consenso in modo chiaramente distinguibile dalle altre clausole contrattuali e usare un linguaggio semplice e chiaro. L’informazione deve consentire all’interessato di capire le conseguenze del consenso e di sapere se possa stipulare il contratto anche rifiutando il trattamento dei dati non necessari all’esecuzione del contratto.

Onere della prova e validità della clausola contrattuale

La Corte ribadisce che l’onere della prova del consenso grava sul titolare del trattamento. Non basta quindi che il contratto riporti una clausola secondo cui il cliente sarebbe stato informato e avrebbe acconsentito.

Nel caso concreto, il mero fatto che la casella fosse stata selezionata non prova di per sé una manifestazione positiva del consenso, soprattutto se la selezione è stata effettuata dagli agenti di vendita prima della firma. La firma del contratto, contenente più clausole, non dimostra automaticamente che la clausola sul trattamento dei dati sia stata effettivamente letta e compresa.

La Corte aggiunge che la libertà del consenso può essere compromessa se il contratto o la prassi aziendale inducono il cliente a credere che non possa stipulare il contratto senza acconsentire, oppure se, per opporsi al trattamento, è richiesto un modulo supplementare di rifiuto. Una simile formalità può incidere indebitamente sulla scelta libera dell’interessato.

Dispositivo

La Corte risponde che spetta al responsabile del trattamento dimostrare che l’interessato ha manifestato il consenso mediante un comportamento attivo e dopo aver ricevuto un’informazione adeguata, chiara e completa. Un contratto di telecomunicazioni con una clausola di consenso non è sufficiente a provare un consenso valido se la casella è stata pre-selezionata dal titolare, se le clausole contrattuali possono indurre in errore sulla possibilità di contrarre senza prestare consenso, o se il rifiuto del consenso è indebitamente ostacolato da un modulo supplementare di rifiuto.

Principi affermati

La sentenza conferma che, in materia di protezione dei dati personali:

• il consenso deve essere espresso con un atto positivo dell’interessato;
• il titolare del trattamento deve poter dimostrare tale consenso;
• l’informativa deve essere realmente comprensibile e idonea a permettere una scelta consapevole;
• la firma di un modulo contrattuale non equivale, da sola, a prova sufficiente del consenso valido.