Con l’ordinanza n. 9920 del 28 marzo 2022, la Corte di Cassazione ha fornito preziosi chiarimenti in relazione alle campagne volte all’acquisizione del consenso al trattamento dei dati personali per finalità di marketing.
Nella pronuncia in esame, la Corte di Cassazione ha riconosciuto – accogliendo il ricorso dell’Autorità Garante per la protezione dei dati personali – l’illiceità dei trattamenti di dati personali consistenti nell’invio di comunicazioni volte a richiedere il consenso al trattamento per finalità di marketing nei confronti di interessati che in precedenza non avevano fornito o avevano ritirato tale consenso.
L’ordinanza prende le mosse da un ricorso proposto dal Garante per la protezione dei dati personali avverso la sentenza n. 10789/2019 del Tribunale di Roma, con cui il giudice di merito aveva accolto l’impugnazione, presentata da una società, avverso il provvedimento dell’Autorità n. 437 del 27 ottobre 2016. La società, nel caso di specie, aveva proceduto all’invio di comunicazioni finalizzate al recupero del consenso per finalità di marketing sia a clienti di nuova acquisizione sia a quelli già presenti nella customer base.
Il giudice di merito, in particolare, aveva ritenuto che l’art. 130, comma 1, del D. Lgs. 196/2003 (Codice Privacy), nonostante vietasse le attività promozionali o pubblicitarie in assenza di consenso, non risultasse di ostacolo all’invio di messaggi diretti proprio ad acquisire suddetto consenso, da manifestarsi poi in modo consapevole da parte del cliente e finalizzato al successivo inoltro da parte dell’azienda di offerte commerciali.
Preliminarmente, si evidenzia che nel ricorso presentato dal Garante veniva rappresentata la violazione dell’art. 2 Cost., art. 8 Cedu, art. 8 della Carta dei diritti fondamentali dell’UE, e degli artt. 6, comma 1, del Regolamento (UE) 2016/679, e 130 del Codice Privacy.
Ad avviso dell’Autorità, infatti, la società, con l’invio di sms finalizzati all’acquisizione del consenso per l’effettuazione di attività di marketing a un bacino di utenti i cui dati personali erano stati trattati in difetto del consenso originario, aveva posto in essere un’attività contra legem, costituente essa stessa un trattamento illecito di dati personali per finalità di marketing nei riguardi di chi quel consenso non lo aveva manifestato.
La Corte di Cassazione ha condiviso l’orientamento del Garante Privacy fornendo le seguenti osservazioni:
-
l’art. 130, comma 1, del Codice Privacy, che disciplina le cd. “comunicazioni indesiderate”, non richiede il consenso esclusivamente per l’invio di materiale o per la vendita diretta, ma anche e più semplicemente per l’invio di generiche “comunicazioni commerciali”;
-
la richiesta di consenso per l’effettuazione di successive attività promozionali costituisce essa stessa una “comunicazione commerciale”, dal momento che è teleologicamente preordinata, connessa e finalizzata all’invio di comunicazioni commerciali;
-
tale considerazione era già stata sostenuta dalla Corte di Cassazione in relazione alla comunicazione telefonica finalizzata a ottenere il consenso per fini di marketing da chi l’abbia precedentemente negato, poiché la finalità alla quale è imprescindibilmente collegato il consenso richiesto per il trattamento concorre a qualificare il trattamento stesso (si veda ordinanza Cass. Civ. sez. I – 26/04/2021, n. 11019);
-
il trattamento dei dati personali delle persone contattate, in assenza di consenso legittimamente manifestato, è illecito a prescindere dal fatto che l’interessato sia iscritto nel registro pubblico delle opposizioni (si veda ordinanza Cass. Civ. sez. I – 26/04/2021 n. 11019).
-
l’art. 130, comma 2, del Codice Privacy, estende l’applicazione del comma 1 anche alle comunicazioni elettroniche, effettuate per finalità di marketing, mediante posta elettronica, telefax, messaggi del tipo Mms (Multimedia Messaging Service) o Sms (Short Message Service) o di altro tipo;
-
con riguardo all’invio di comunicazioni mediante sistemi automatizzati, si deve ricordare la ratio protettiva individuabile nella Direttiva cd. e-privacy 2002/58-CE, all’epoca vigente, espressamente tesa ad evitare l’utilizzo surrettizio di mezzi rivolti all’attività di marketing nonostante la mancanza di consensi esplicitamente, e anteriormente, non rilasciati dai soggetti interessati.
Indubbiamente il provvedimento della Suprema Corte interviene su una tematica centrale e dibattuta nello specifico ambito del trattamento dei dati personali per finalità di marketing.
Con l’ordinanza, in definitiva, la Cassazione afferma che tali comunicazioni configurano di per sé un trattamento illecito di dati personali, poiché la ratio sottesa alla normativa in materia di protezione dei dati personali induce ad equiparare la mancanza del consenso al dissenso, con esplicita esclusione dell’applicabilità del regime dell’opt-out della volontà dell’interessato. Di conseguenza, nel caso in cui il consenso per finalità di marketing non sia stato prestato precedentemente all’inizio del trattamento, ad esempio all’atto di stipula di un contratto o della richiesta di un servizio, non sarebbe possibile esperire successivi ed estemporanei tentativi di acquisizione in carenza di un valido presupposto di liceità del trattamento. Ciò, in particolare, ha degli effetti diretti sulle attività intraprese dai titolari del trattamento al fine di “sanare” l’assenza del consenso, poiché dovranno essere progettate tenendo conto dei principi sanciti dal Garante Privacy e ormai confermati dalla Cassazione.
Alessandro Perotti
