Newsletter: le nuove regole della Cassazione
Per la Cassazione non è consentito imporre l'iscrizione al servizio di newsletter solo a seguito della prestazione di un consenso generico a ricevere "informazioni promozionali"
di Lucia Izzo - È scorretta la pratica con cui si consenta l'iscrizione al servizio di newsletter pubblicitaria via internet soltanto a seguito della prestazione di un consenso solo generico a ricevere "informazioni promozionali" descritte in un'altra pagina web linkata.
Tanto ha chiarito la Corte di Cassazione, prima sezione civile, nella sentenza n. 17278/2018 (qui sotto allegata) dando ragione all'Autorità Garante per la Protezione dei Dati Personali.
Il caso
La vicenda origina da una decisione del 2014 con cui il Garante aveva sanzionato una società specializzata in advertising ritenendo illecito il trattamento dei dati personali da questa posto in essere, per finalità promozionali, effettuato senza aver ottenuto un consenso libero e specifico degli interessati ex artt. 23 e 130 del Codice della privacy.
Nel dettaglio, la società offriva tramite un sito internet un servizio di newsletter su tematiche legate alla finanza, al fisco, al diritto e al lavoro e, per accedere a tale newsletter, l'utente doveva inserire un proprio indirizzo email.
In calce al form di raccolta dati era presente una casella di spunta (c.d. checkbox) con la quale il contraente poteva esprimere il consenso "al trattamento dei dati personali" e non era possibile accedere al servizio senza validare la casella del consenso come confermava un messaggio laddove si fosse provato a farlo ("è richiesta la selezione della casella").
La pagina, tuttavia, non evidenziava direttamente in cosa consistesse il "trattamento dei dati personali" e quali effetti producesse. Infatti, l'utente poteva visionare la normativa sulla privacy cliccando su un apposito link ipertestuale che reindirizzava ad altra pagina dove era specificato che i dati personali acquisiti attraverso l'iscrizione alla newsletter sarebbero stati utilizzati non solo per la fornitura di tale servizio, ma anche per l'invio di comunicazioni promozionali nonché di informazioni commerciali da parte di terzi.
Nell'opporsi alla sanzione irrogata dal Garante, la società trovava il supporto del Tribunale, secondo cui doveva escludersi che il consenso espresso dall'utente nell'accedere alle prestazioni offerte dall'azienda non potesse considerarsi "libero", giacché la norma non individua un obbligo tout court per il gestore del portale di offrire comunque le proprie prestazioni, a prescindere dal consenso al trattamento dei dati personali da parte dell'utente.
In definitiva, si sarebbe trattato di un servizio prestato a utenti che del tutto liberamente e volontariamente avevano optato per l'adesione allo stesso.
La Cassazione su consenso informato e advertising
Da qui il ricorso in Cassazione con cui il Garante lamenta che il Tribunale abbia errato nell'interpretazione del citato art. 23, alla luce del quale occorre che il consenso al trattamento dei dati personali sia espresso liberamente e specificamente.
Nel caso di specie, soggiunge la ricorrente, sarebbe mancata una specifica manifestazione di volontà volta alla ricezione di messaggi promozionali via mail, essendo obbligatorio prestare il consenso alla loro ricezione per potersi iscrivere al servizio di newsletter offerto dalla società.
Gli Ermellini, accogliendo il ricorso, precisano le regole che l'advertising sul web deve rispettare e offrono un'interessante interpretazione in tema di consenso informato. Tale consenso, secondo i giudici, non ammette "compressioni di alcun genere e non sopporta di essere sia pure marginalmente perturbato non solo per effetto di errore, violenza o dolo, ma anche per effetto de l'intero ventaglio di possibili disorientamenti, stratagemmi, opacità, sotterfugi, slealtà, doppiezze o malizie comunque adottate dal titolare del trattamento".
In tal senso, prosegue la Corte, va inteso il dato normativo alla luce del quale deve trattarsi di un consenso libero, ossia pienamente consapevole e informato e non già frutto di alcun condizionamento, e specifico, ossia inequivocabilmente riferito a ciascun particolare effetto del trattamento.
Certo, in un caso come quello in questione, concernente un servizio né infungibile né irrinunciabile, nulla impedisce al gestore del sito di negare il servizio offerto a chi non si presti a ricevere messaggi promozionali, mentre ciò che gli è interdetto è utilizzare i dati personali per somministrare o far somministrare informazioni pubblicitarie a colui che non abbia effettivamente manifestato la volontà di riceverli.
Insomma, concludono i giudici, l'ordinamento non vieta lo scambio di dati personali, ma esige tuttavia che tale scambio sia frutto di un consenso pieno e in nessun modo coartato. Inoltre, oltre che libero tale consenso deve essere anche specifico: infatti, la libertà della determinazione volitiva in ordine al trattamento dei dati personali non sarebbe neppure astrattamente configurabile, nel suo atteggiarsi quale consenso informato, se non fosse univocamente indirizzata alla produzione di effetti che l'utente abbia preventivamente avuto modo di rappresentarsi, singolarmente, con esattezza.
Web advertising, consenso specifico
Non si ha, dunque, un consenso specificamente e liberamente prestato ove gli effetti del consenso non siano indicati con completezza accanto a una specifica "spunta" apposta sulla relativa casella di una pagina Web, ma siano invece descritti in altra pagina Web linkata alla prima.
In tale caso, infatti, non si ha contezza del fatto che l'interessato abbia consultato detta altra pagina, apponendo nuovamente una diversa "spunta" finalizzata a manifestare il suo consenso. Ancora, per essere "specifico" il consenso non potrà essere genericamente riferito a non meglio identificati messaggi pubblicitari, al punto che chi abbia chiesto di fruire di un servizio di informazioni giuridico-fiscali, si veda poi raggiunto da pubblicità di servizi o prodotti non attinenti alle ricerche effettuate.
È allora specifico, per questo aspetto, il consenso se riferito "ad un trattamento chiaramente individuato", il che comporta la necessità, almeno, dell'indicazione dei settori merceologici o dei servizi cui i messaggi pubblicitari saranno riferiti. La sentenza impugnata, in definitiva, adottando una nozione generica e onnicomprensiva di consenso, non conforme al dato normativo, non si è attenuta ai principi enunciati dalla corte.
In conclusione, "In tema di consenso al trattamento dei dati personali, la previsione dell'articolo 23 del Codice della privacy, nello stabilire che il consenso è validamente prestato solo se espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, consente al gestore di un sito Internet, il quale somministri un servizio fungibile, cui l'utente possa rinunciare senza gravoso sacrificio (nella specie servizio di newsletter su tematiche legate alla finanza, al fisco, al diritto e al lavoro), di condizionare la fornitura del servizio al trattamento dei dati per finalità pubblicitarie, sempre che il consenso sia singolarmente ed inequivocabilmente prestato in riferimento a tale effetto, il che comporta altresì la necessità, almeno, dell'indicazione dei settori merceologici o dei servizi cui i messaggi pubblicitari saranno riferiti".
Autore: Lucia Izzo