La Corte di Giustizia dell’Unione Europea, con la sentenza CJEU, 29.07.2019 - C-40/17, si è espressa in materia di utilizzo di cookies di profilazione, sempre più spesso utilizzati anche nei siti-web degli studi legali.
Ci si è posti l’interrogativo sulla liceità dell’utilizzo dei cookies di profilazione sul sito web di uno studio legale o di un avvocato, alla luce del significativo principio di diritto affermato dalla Corte di Giustizia, secondo cui il consenso, per essere validamente espresso, non può consistere in una spunta preselezionata. Il caso. La sentenza della CGUE è stata emessa a conclusione di un giudizio intrapreso avanti le Corti Federali Tedesche da parte di alcune associazioni di consumatori nei confronti della società Planet49, la quale aveva predisposto una casella di spunta già selezionata per la partecipazione al gioco, comprensiva di una preselezione del consenso all’installazione di cookies di profilazione collegati ai prodotti dei partner dell’azienda, con conseguente trasferimento dei dati ad azienda terza rispetto al titolare del trattamento. La preselezione non garantisce un consenso validamente prestato. La decisione della Corte ha precisato che l’automatismo non garantisce la libertà dell’utente di prestare il proprio consenso, poiché non consente a quest’ultimo di scegliere effettivamente se installare i file di testo per la profilazione. La Corte ha altresì precisato che è ininfluente che i dati archiviati costituiscano o meno dati personali, ed ha focalizzato la propria attenzione sul fatto che la disciplina europea mira a tutelare l’utente da qualsiasi ingerenza sibillina nella vita privata e, in particolare, dal rischio che identificatori occulti o altri dispositivi analoghi si introducano nel terminale dell’utente a sua insaputa. Il problema principale riguarda la possibilità del gestore del sito di predisporre il c.d. opt-out che, non essendo vietato dalla disciplina in vigore, è largamente utilizzato e che, alla luce del principio espresso dalla Corte, dovrà essere convertito in un c.d. opt-in, ossia nella possibilità effettiva per chi visita il sito di manifestare un consenso attivo all’utilizzo dei cookies di profilazione. La Corte nelle proprie argomentazioni ha sottolineato la rilevanza non solo della specifica disciplina dettata dalla Direttiva 2002/58/CE, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche, ma anche il considerando n. 32 del GDPR che prevede specificamente che il consenso dovrebbe essere espresso mediante un atto positivo inequivocabile con il quale l’interessato manifesta la propria intenzione libera, specifica, informata ed inequivocabile di accettare il trattamento. A prescindere dal singolo caso, il principio sancito dalla Corte è importante e necessita di adeguamento da parte di tutti, inclusi i siti di studi legali e singoli professionisti, considerando peraltro che il diritto alla riservatezza del cliente potenziale visitatore del sito è garantito anche dal Codice Deontologico Forense.