
Lo scorso 27 ottobre la Corte di Giustizia dell’Unione Europea (CGUE), nella causa C-129/21, è stata chiamata dall’Hof Van Beroep te Brussel - la Corte d’Appello di Bruxelles - a pronunciarsi in relazione alla “catena di condivisione” di dati personali nel telemarketing.
La vicenda
La vicenda trae origine da un reclamo presentato da un abbonato ad una società fornitrice di servizi di telecomunicazioni (di seguito, l’Operatore) alla Gegevensbeschermingsautoriteit (Autorità Garante per la Protezione dei Dati Personali belga) nei confronti della società fornitrice di servizi di telecomunicazioni e di elenchi telefonici pubblici Proximus NV (di seguito, la Società) affinché quest’ultima cancellasse i suoi dati di contatto dagli elenchi telefonici pubblicati sia dalla stessa sia da terzi. Il procedimento innanzi l’Autorità si era concluso con l’imposizione di una sanzione pari ad € 20.000,00, nonché l’ordine di dare un seguito appropriato ed immediato alla revoca del consenso e di conformarsi alle richieste di quest’ultimo volte all’esercizio del suo diritto alla cancellazione dei dati che lo riguardano. La Società ha proposto ricorso avverso tale decisione sostenendo che conformemente all’articolo 45, paragrafo 3, della legge sulle comunicazioni elettroniche, non è richiesto il consenso dell’abbonato, ma sono gli abbonati stessi che devono chiedere di non figurare negli elenchi telefonici, secondo un sistema cosiddetto di “opt-out” e, in assenza di una domanda del genere, l’abbonato può effettivamente comparire in tali elenchi telefonici. Di parere opposto l’Autorità belga, la quale ha invece sostenuto che è richiesto il “consenso degli abbonati”, ai sensi del GDPR, affinché i fornitori di elenchi telefonici possano trattare e trasmettere a terzi dati personali. In tali circostanze il giudice del rinvio ha deciso di sospendere il procedimento per sottoporre alla CGUE questioni pregiudiziali relative al consenso e al diritto alla cancellazione.
Le questioni pregiudiziali poste alla CGUE
La Corte di Giustizia dell’Unione Europea, investita della questione, è stata chiamata a pronunciarsi sulle seguenti questioni pregiudiziali:
- sulla necessità, nonché la validità, del consenso prestato dall’abbonato di un operatore di servizi telefonici affinché i suoi dati personali siano inclusi in elenchi telefonici e nei servizi di consultazione pubblicati da fornitori diversi da tale operatore;
- se la richiesta di un abbonato diretta all’eliminazione dei suoi dati personali dagli elenchi telefonici e dai servizi di consultazione degli elenchi telefonici accessibili al pubblico costituisca un esercizio del “diritto alla cancellazione”;
- sulle azioni che un fornitore di elenchi telefonici e di servizi di consultazione debba intraprendere a seguito della ricezione di una richiesta di cancellazione da parte dell’abbonato;
- se, a fronte della richiesta dell’abbonato, il fornitore di elenchi e relativi servizi di consultazione sia tenuto ad avvisare i gestori dei motori di ricerca della richiesta di cancellazione.
La prima questione
La CGUE, ripercorrendo il caso di specie, ha affermato che nel caso in cui un abbonato è stato preventivamente informato da un operatore di servizi telefonici – quale l’Operatore - della possibile trasmissione dei dati personali che lo riguardano ad un’impresa terza – quale la Società o altri terzi – per il loro inserimento in un elenco telefonico pubblico, e questi vi abbia acconsentito, la successiva comunicazione di tali informazioni dall’operatore ad un’altra impresa al fine (esclusivo) della loro pubblicazione in elenchi telefonici pubblici e/o per renderle consultabili, non deve essere nuovamente oggetto di un consenso da parte del suddetto abbonato. Ciò solo qualora venga garantito che i dati in questione non saranno usati per scopi diversi da quelli per cui sono stati raccolti al fine della loro prima pubblicazione. Il giudice europeo ha inoltre evidenziato che, affinché i dati personali degli abbonati possano essere inclusi negli elenchi telefonici pubblicati da fornitori terzi, è necessario procedere alla raccolta del consenso ex articolo 4, punto 11, del GDPR, ma che tale consenso può, tuttavia, essere raccolto indifferentemente dal primo operatore o dal fornitore terzo.
La seconda questione
La CGUE ha poi affermato che, poiché nel caso di specie il trattamento è fondato sulla base giuridica del consenso, la richiesta dell’abbonato finalizzata alla rimozione dei dati a sé riferibili da tali elenchi pubblici costituisce una revoca dello stesso e, dunque, il legittimo esercizio del diritto alla cancellazione dei propri dati personali.
La terza questione
Riguardo la terza questione, la CGUE ha affermato che anche la Società, trattando i dati in qualità di titolare del trattamento – allo stesso modo dell’Operatore - è tenuta a mettere in atto misure tecniche e organizzative adeguate al fine di informare gli altri fornitori di elenchi telefonici (ai quali abbia fornito tali dati) dell’intervenuta revoca del consenso. Invero, nel caso in cui diversi titolari basino il proprio trattamento sul consenso dell’interessato per la stessa finalità, l’interessato può rivolgersi, per revocare il proprio consenso, ad uno qualsiasi di tali loro il quale sarà, poi, tenuto a darne comunicazione a tutti gli altri fornitori al fine di interrompere i relativi trattamenti dei dati.
La quarta questione
L’ultima questione è stata interpretata dalla Corte nel senso che il titolare è tenuto ad adottare “misure ragionevoli” al fine di informare i gestori dei motori di ricerca della richiesta di cancellazione dei dati personali.
Conclusione
Una decisione a prima lettura molto complessa, quella della quarta sezione della Corte di Giustizia UE, volta ad offrire una tutela più forte per quegli interessati che decidono di revocare il proprio consenso circa la pubblicazione delle proprie informazioni personali in elenchi pubblici. Invero, il consenso prestato al singolo Operatore può generare un’indeterminata “catena di trasmissione” dei dati, difficilmente ricostruibile dall’interessato. Per questo motivo, con la propria decisione, la Corte ha stabilito che, per sciogliere le maglie della suddetta catena, è sufficiente che l’interessato manifesti il proprio “dissenso” - revocando il consenso precedentemente prestato - nei confronti di uno solo dei titolari, il quale sarà poi tenuto a comunicare la volontà dell’abbonato agli altri titolari del trattamento che dovranno provvedere alla cancellazione dei dati personali dagli elenchi.
Dott. Lorenzo Pinci