Corte di giustizia, Sentenza C-129/21

Pubblicazione di dati personali in elenchi telefonici pubblici e revoca del consenso

La causa C-129/21 nasce da un rinvio pregiudiziale dello hof van beroep te Brussel nell’ambito di una controversia tra Proximus NV e l’Autorità belga per la protezione dei dati. La Corte è chiamata a chiarire come si coordino la direttiva 2002/58/CE e il RGPD quando un abbonato chiede la rimozione dei propri dati dagli elenchi telefonici pubblici.

Fatti e procedimento principale

Proximus, oltre a essere operatore di telecomunicazioni, pubblica elenchi telefonici e trasmette i dati degli abbonati ad altri fornitori di elenchi. Un abbonato di Telenet aveva chiesto di non comparire negli elenchi, ma dopo un aggiornamento dei dati inviato da Telenet i suoi dati erano riapparsi. L’APD ha irrogato a Proximus misure correttive e una sanzione di EUR 20 000 per violazioni del RGPD, in particolare degli articoli 6, 7, 5, paragrafo 2, e 24.

Normativa rilevante

La Corte richiama, in particolare, l’articolo 12 della direttiva 2002/58/CE, che disciplina gli elenchi di abbonati e richiede che gli abbonati siano informati e possano decidere se i loro dati figurino in un elenco pubblico. Sul versante RGPD, risultano centrali gli articoli 4, punto 11, 5, paragrafo 2, 6, paragrafo 1, lettera a), 7, paragrafo 3, 16, 17, 19, 24, 94 e 95.

Prima questione: consenso per la pubblicazione negli elenchi

La Corte ricorda che l’articolo 12, paragrafo 2, della direttiva 2002/58, letto alla luce dell’articolo 2, lettera f), e dell’articolo 95 RGPD, richiede il consenso dell’abbonato nel senso dell’articolo 4, punto 11, RGPD: una volontà libera, specifica, informata e inequivocabile. Il consenso riguarda lo scopo della pubblicazione e non l’identità del singolo fornitore di elenchi. Perciò, se l’abbonato è stato informato della possibile trasmissione dei dati a terzi e ha acconsentito alla pubblicazione per quella finalità, non serve un nuovo consenso per ciascun ulteriore fornitore che tratti i dati per lo stesso scopo, purché non vi siano usi ulteriori diversi da quelli originari.

Seconda questione: richiesta di cancellazione come diritto all’oblio

La richiesta dell’abbonato di eliminare i suoi dati dagli elenchi telefonici è qualificata come esercizio del diritto alla cancellazione ai sensi dell’articolo 17 RGPD. La Corte esclude che si tratti di una mera rettifica ex articolo 16 RGPD, poiché la domanda non mira a correggere dati inesatti, ma a sopprimere la pubblicazione di dati corretti. La revoca del consenso fa venir meno la base giuridica del trattamento; in mancanza di un diverso fondamento, il titolare deve cancellare i dati ai sensi dell’articolo 17, paragrafo 1, lettera b), o, se il trattamento prosegue illecitamente, ai sensi della lettera d).

Terza questione: obblighi di informazione verso altri titolari del trattamento

La Corte afferma che gli articoli 5, paragrafo 2, e 24 RGPD impongono al titolare un obbligo generale di responsabilizzazione e di adozione di misure tecniche e organizzative adeguate. Letti insieme all’articolo 19 RGPD, questi obblighi giustificano che il titolare che riceve la revoca del consenso debba informare gli altri titolari della stessa catena di trattamento, compreso l’operatore telefonico originario che aveva trasmesso i dati. La soluzione tutela l’effettività della revoca: l’interessato deve potersi rivolgere a uno solo dei titolari che si basano sul medesimo consenso, senza dover contattare ciascun soggetto della catena.

Quarta questione: informazione ai motori di ricerca

Quanto all’articolo 17, paragrafo 2, RGPD, la Corte ricorda che il titolare che ha reso pubblici dati personali deve adottare misure ragionevoli, anche tecniche, per informare i titolari che trattano tali dati della richiesta di cancellazione di link, copie o riproduzioni. Tale obbligo, collegato al considerando 66, mira a rafforzare il diritto all’oblio online. Pertanto, un’autorità di controllo può ordinare al fornitore di elenchi telefonici di adottare misure ragionevoli per informare i gestori dei motori di ricerca della richiesta di cancellazione, tenendo conto della tecnologia disponibile e dei costi di attuazione.

Dispositivo

La Corte risponde che: 1) per la pubblicazione dei dati negli elenchi telefonici pubblici è richiesto il consenso dell’abbonato ai sensi del RGPD; 2) la domanda di eliminazione dai elenchi è esercizio del diritto alla cancellazione; 3) il titolare deve adottare misure adeguate per informare gli altri titolari della revoca del consenso; 4) è legittimo ordinare misure ragionevoli per informare i motori di ricerca della richiesta di cancellazione.

Principi utili per la pratica

La pronuncia è rilevante per fornitori di elenchi, operatori telecom e consulenti privacy perché chiarisce che il consenso originario copre l’intera finalità di pubblicazione, ma la revoca deve produrre effetti lungo tutta la catena dei soggetti che trattano i dati per la stessa finalità. Ne deriva un forte obbligo organizzativo di sincronizzazione degli archivi e delle comunicazioni verso terzi, compresi i motori di ricerca.