Causa C‑673/17

Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV

contro

Planet49 GmbH

(domanda di pronuncia pregiudiziale proposta dal Bundesgerichtshof)

Sentenza della Corte (Grande Sezione) del 1o ottobre 2019

«Rinvio pregiudiziale – Direttiva 95/46/CE – Direttiva 2002/58/CE – Regolamento (UE) 2016/679 – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Cookie – Nozione di consenso dell’interessato – Dichiarazione di consenso mediante una casella di spunta preselezionata»

1. Ravvicinamento delle legislazioni – Settore delle telecomunicazioni – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Direttiva 2002/58 – Cookies – Consenso dell’interessato – Nozione – Dichiarazione di consenso mediante una casella di spunta preselezionata – Esclusione

   [Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 4, punto 11, e 6, § 1, a); direttive del Parlamento europeo e del Consiglio 95/46, art. 2, h), e 2002/58, come modificata dalla direttiva 2009/136, artt. 2, f), e 5, § 3]

   (v. punti 49‑58, 60‑63, dispositivo 1)

2. Ravvicinamento delle legislazioni – Settore delle telecomunicazioni – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Direttiva 2002/58 – Cookies – Consenso dell’interessato – Nozione – Informazioni archiviate o consultate che costituiscono o meno dati personali – Irrilevanza

   [Regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 4, punto 11, e 6, § 1, a); direttive del Parlamento europeo e del Consiglio 95/46, art. 2, h), e 2002/58, come modificata dalla direttiva 2009/136, artt. 2, f), e 5, § 3]

   (v. punti 68‑71, dispositivo 2)

3. Ravvicinamento delle legislazioni – Settore delle telecomunicazioni – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Direttiva 2002/58 – Cookies – Informazione chiara e completa che deve essere comunicata dal fornitore di servizi – Nozione – Periodo di attività dei cookie – Inclusione – Possibilità o meno per i terzi di avere accesso ai cookie – Inclusione

   (Direttiva del Parlamento europeo e del Consiglio 2002/58, come modificata dalla direttiva 2009/136, art. 5, § 3)

   (v. punti 74‑81, dispositivo 3)

Sintesi

Per l’installazione di cookie è necessario il consenso attivo degli utenti di Internet

Con sentenza del 1o ottobre 2019, Planet49 (C‑673/17), la Corte (Grande Sezione) ha dichiarato che il consenso all’archiviazione di informazioni o all’accesso a informazioni, attraverso cookie installati nell’apparecchiatura terminale dell’utente di un sito Internet, non è validamente espresso quando l’autorizzazione risulta da una casella di spunta preselezionata, e ciò indipendentemente dal fatto che le informazioni di cui trattasi costituiscano o meno dati a carattere personale. La Corte ha inoltre precisato che il fornitore di servizi deve comunicare all’utente di un sito Internet il periodo di attività dei cookie, nonché la possibilità o meno per i terzi di avere accesso a tali cookie.

La controversia nel procedimento principale verteva sull’organizzazione di un gioco a premi da parte della Planet49 sul sito Internet www.dein-macbook.de. Per partecipare, gli utenti di internet dovevano comunicare il loro nome e indirizzo in una pagina web nella quale erano presenti delle caselle di spunta da selezionare. La casella autorizzante l’installazione dei cookie era preselezionata. Adito con un ricorso dalla Federazione tedesca delle organizzazioni di consumatori, il Bundesgerichtshof (Corte federale di giustizia, Germania) nutriva dubbi quanto alla validità del consenso degli utenti ottenuto mediante una casella di spunta preselezionata nonché quanto alla portata dell’obbligo di informazione gravante sul fornitore di servizi.

La domanda di pronuncia pregiudiziale verteva essenzialmente sull’interpretazione della nozione di consenso di cui alla direttiva relativa alla vita privata e alle comunicazioni elettroniche ( 1 ), letta in combinato disposto con la direttiva 95/46 ( 2 ), nonché con il regolamento generale sulla protezione dei dati ( 3 ).

In primo luogo, la Corte ha osservato che l’articolo 2, lettera h), della direttiva 95/46, alla quale fa rinvio l’articolo 2, lettera f), della direttiva relativa alla vita privata e alle comunicazioni elettroniche, definisce il consenso come «qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento». Essa ha rilevato che il requisito della «manifestazione» della volontà della persona interessata evoca chiaramente un comportamento attivo e non uno passivo. Orbene, il consenso espresso mediante una casella di spunta preselezionata non implica un comportamento attivo da parte dell’utente di un sito Internet. Inoltre, la genesi dell’articolo 5, paragrafo 3, della direttiva relativa alla vita privata e alle comunicazioni elettroniche, il quale prevede, dopo la modifica per effetto della direttiva 2009/136, che l’utente deve avere «espresso preliminarmente il proprio consenso» all’installazione di cookie, tende a indicare che il consenso dell’utente oramai non può più essere presunto e deve risultare da un comportamento attivo di quest’ultimo. Infine, un consenso attivo è oramai previsto dal regolamento generale sulla protezione dei dati ( 4 ), il cui articolo 4, punto 11, richiede una manifestazione della volontà nella forma, segnatamente, di un’«azione positiva inequivocabile» e il cui considerando 32 esclude espressamente che «il silenzio, l’inattività o la preselezione di caselle» configurino consenso.

La Corte ha pertanto dichiarato che il consenso non è validamente espresso quando l’archiviazione di informazioni o l’accesso a informazioni già archiviate nell’apparecchiatura terminale dell’utente di un sito Internet sono autorizzati mediante una casella di spunta preselezionata che l’utente deve deselezionare al fine di negare il proprio consenso. Essa ha aggiunto che il fatto che l’utente attivi il pulsante di partecipazione al gioco a premi in questione non può essere sufficiente per ritenere che l’utente abbia validamente espresso il suo consenso all’installazione di cookie.

In secondo luogo, la Corte ha constatato che l’articolo 5, paragrafo 3, della direttiva relativa alla vita privata e alle comunicazioni elettroniche mira a proteggere l’utente da qualsiasi ingerenza nella sua vita privata, indipendentemente dal fatto che detta ingerenza riguardi o meno dati personali. Ne consegue che la nozione di consenso non deve essere interpretata in modo diverso a seconda che le informazioni archiviate o consultate nell’apparecchiatura terminale dell’utente di un sito Internet costituiscano o meno dati personali.

In terzo luogo, la Corte ha rilevato che l’articolo 5, paragrafo 3, della direttiva relativa alla vita privata e alle comunicazioni elettroniche esige che l’utente abbia preliminarmente espresso il proprio consenso, dopo essere stato informato in modo chiaro e completo, sugli scopi del trattamento. Orbene, un’informazione chiara e completa deve consentire ad un utente di determinare agevolmente le conseguenze di un eventuale consenso prestato e assicurare che questo sia espresso con piena conoscenza di causa. A tal proposito, la Corte ha considerato che il periodo di attività dei cookie, nonché la possibilità o meno per i terzi di avere accesso a tali cookie rientrano nell’informazione chiara e completa che il fornitore di servizi deve comunicare all’utente di un sito Internet.

( 1 ) Articoli 2, lettera f), e 5, paragrafo 3, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU 2002, L 201, pag. 37), come modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009 (GU 2009, L 337, pag. 11).

( 2 ) Articolo 2, lettera h), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31).

( 3 ) Articolo 6, paragrafo 1, lettera a), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46 (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1).

( 4 ) Articolo 6, paragrafo 1, lettera a), del regolamento 2016/679.