Illegittimo il trattamento dei dati personali delle persone contattate in assenza di consenso legittimamente manifestato, anche a prescindere dal fatto che l’interessato sia iscritto nel registro pubblico delle opposizioni.
Un'azienda di telecomunicazioni italiana aveva impugnato un provvedimento del 2016 con il quale il Garante per la Protezione dei dati personali, su segnalazione di alcuni privati le aveva vietato l'ulteriore trattamento dei dati personali per finalità promozionali. Nel 2019, il Tribunale di Roma aveva accolto il gravame e con sentenza aveva stabilito che l'articolo 130, comma 1 codice privacy, anche se vietava le attività pubblicitarie o promozionali in assenza di consenso non era tuttavia di ostacolo all'invio di messaggi diretti proprio ad acquisire il consenso all'effettuazione di campagne di marketing. Pertanto, il GPDP ha proposta ricorso per Cassazione lamentando che la sentenza non aveva configurato la violazione contra legem dell'attività svolta dalla compagnia telefonica. Il motivo è fondato. Infatti, l'articolo 130 codice privacy disciplina le comunicazioni indesiderate especifica che «l'uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l'intervento di un operatore per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso del contraente o utente». Pertanto, la norma richiede il consenso non solo per l'invio di materiale o per la vendita diretta, ma anche e più semplicemente per l'invio di generiche comunicazioni commerciali. Già in passato questa Corte aveva chiarito che «ogni consenso in questa materia è validamente prestato solo se espresso liberamente e specificamente in riferimento a un trattamento chiaramente individuato» Cass. numero 14381/2021 e numero 17278/2018 . Ne consegue pertanto che si debba ritenere illegittimo il trattamento dei dati personali delle persone contattate, in assenza di consenso legittimamente manifestato, anche a prescindere dal fatto che l'interessato sia iscritto nel registro pubblico delle opposizioni. Per questi motivi il ricorso viene accolto.
Presidente Genovese - Relatore Terrusi Fatti di causa La omissis s.p.a. oggi omissis s.p.a. ha impugnato il provvedimento del 27 ottobre 2016 col quale il Garante per la protezione dei dati personali, su segnalazione proveniente da privati, le aveva vietato, ai sensi degli articolo 143,144 e 154 del cod. privacy, l'ulteriore trattamento per finalità promozionali dei dati personali concernenti le utenze oggetto di campagne volte ad acquisire il consenso all'effettuazione di attività di marketing. Il Tribunale di Roma ha accolto il gravame con sentenza resa pubblica il 1 agosto 2019, nella quale ha ritenuto che l'articolo 130, comma 1, del cod. privacy, seppur vietando le attività pubblicitarie o promozionali in assenza di consenso, non è di ostacolo all'invio di messaggi nel caso concreto sms diretti proprio ad acquisire il detto consenso, da manifestarsi poi in modo consapevole da parte del cliente e finalizzato al successivo inoltro da parte dell'azienda di offerte commerciali. Il Garante ha proposto ricorso per cassazione in unico motivo, al quale la omissis ha replicato con controricorso e memoria. Gli altri intimati non hanno svolto difese. Ragioni della decisione I. - Con l'unico motivo di ricorso il Garante assume la violazione dell'articolo 2 Cost., articolo 8 Cedu, articolo 8 della Carta dei diritti fondamentali della UE, 6.1. del Regolamento UEnumero 679 del 2016 e 130 cod. privacy. Censura la sentenza per non aver colto che la condotta di omissis , esplicatasi nell'invio di sms ai fini dell'acquisizione del consenso per l'effettuazione di attività di marketing a un bacino di utenti i cui dati personali erano stato trattati in difetto del consenso originario, aveva integrato essa stessa un'attività contra legem, siccome costituente trattamento per finalità di marketing nei riguardi di chi quel consenso non aveva manifestato. II. - Il motivo è fondato. Dalla sentenza si evince che l'attività di omissis si era concretata nell'invio di sms aventi il seguente tenore - quanto alla clientela di nuova acquisizione grazie per averci scelto Vorremmo darle il benvenuto nel mondo delle esclusive promozionali di omissis ma ad oggi non ci risulta il suo consenso ai contatti commerciali. Non perda l'occasione e chiami gratuitamente il omissis entro il giorno mese anno per fornire il suo consenso - quanto ai clienti già presenti nella customer base, ma che non avevano prestato il consenso all'effettuazione di attività promozionale sulla propria utenza telefonica gentile cliente, la informiamo che ad oggi non ci risulta il suo consenso ai contatti commerciali e promozionali omissis . Se desidera entrare nel mondo delle esclusive promozionali di omissis , rilasci il consenso ai contatti commerciali chiamando gratuitamente il omissis entro il giorno mese anno. Per info privacy visiti il sito omissis . III. - L'articolo 130 del cod. privacy disciplina le cd. comunicazioni indesiderate prevedendo in generale, al comma 1, che l'uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l'intervento di un operatore per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso del contraente o utente . La norma richiede il consenso non solo per l'invio di materiale o per la vendita diretta, ma anche e più semplicemente per l'invio di generiche comunicazioni commerciali . Ove il consenso sia richiesto per successive attività commerciali o promozionali si è già in presenza di una comunicazione commerciale , poiché codesta resta comunque integrata dal fine perseguito. Invero sempre l'articolo 130 ha cura di specificare, al comma 2, che la disposizione si applica anche alle comunicazioni elettroniche, effettuate per le finalità ivi indicate, mediante posta elettronica, telefax, messaggi del tipo Mms Multimedia Messaging Service o Sms Short Message Service o di altro tipo . IV. - Nel testo conseguente al D.Lgs. numero 69 del 2012, applicabile a decorrere dal 1 giugno 2012 e quindi anche alla fattispecie in esame, la stessa norma stabilisce inoltre, al comma 5, che è vietato in ogni caso l'invio di comunicazioni per le finalità anzidette o, comunque, a scopo promozionale, effettuato camuffando o celando l'identità del mittente o in violazione del D.Lgs. 9 aprile 2003, numero 70, articolo 8, o senza fornire un idoneo recapito presso il quale l'interessato possa esercitare i diritti di cui agli articolo da 15 a 22 del Regolamento, oppure esortando i destinatari a visitare siti web che violino del D.Lgs. numero 70 del 2003, predetto articolo 8 . V. - La natura degli invii mediante sistemi automatizzati di comunicazione impone di correlare la disciplina anzidetta alla ratio protettiva individuabile nella Direttiva cd. e-privacy 2002/58-CE, vigente pro tempore, esplicitamente tesa a evitare l'utilizzo surrettizio di mezzi rivolti all'attività di marketing nonostante la mancanza di consensi esplicitamente, e anteriormente, non rilasciati dai soggetti interessati. Va rammentato che questa Corte ha già chiarito che ogni consenso in questa materia è validamente prestato solo se espresso liberamente e specificamente in riferimento a un trattamento chiaramente individuato v. Cass. numero 14381-21 e Cass. numero 17278-18 . VI. - Non possiede base giuridica la pretesa di scindere, come fatto dal tribunale di Roma, l'attività rispetto al fine promozionale, a seconda che sia tesa ad acquisire un consenso anteriormente non prestato ovvero a svolgere direttamente il marketing. Questa Corte ha difatti anche riconosciuto che una comunicazione telefonica finalizzata a ottenere il consenso per fini di marketing da chi l'abbia precedentemente negato, deve considerarsi essa stessa comunicazione commerciale poiché la finalità alla quale è imprescindibilmente collegato il consenso richiesto per il trattamento concorre a qualificare il trattamento stesso. Ne consegue che deve ritenersi illegittimo, ai sensi dell'articolo 130, comma 3 e articolo 23 del cod. privacy, il trattamento dei dati personali delle persone contattate, in assenza di consenso legittimamente manifestato, anche a prescindere dal fatto che l'interessato sia iscritto nel registro pubblico delle opposizioni v. Cass. numero 11019-21 . VII. - Ai rilievi svolti in detto precedente è opportuno aggiungere i seguenti. L'articolo 13 della Direttiva citata in effetti contiene la regola dettagliata nell'oggetto, secondo la quale l'uso di sistemi automatizzati di chiamata senza intervento di un operatore dispositivi automatici di chiamata , del telefax o della posta elettronica a fini di commercializzazione diretta è consentito soltanto nei confronti degli abbonati che abbiano espresso preliminarmente il loro consenso . Purtuttavia il concetto di commercializzazione diretta è integrato in funzione della menzionata ratio protettiva delle interferenze nella vita privata degli abbonati, in ragione della quale le campagne pubblicitarie sono ritenute - dalla stessa Direttiva - legittime a condizione che siano state precedute da un consenso esplicito . A tal riguardo il Considerando 40 della direttiva, dopo aver sollecitato la previsione di misure per tutelare gli abbonati da interferenze nella loro vita privata mediante comunicazioni indesiderate a scopo di commercializzazione diretta, in particolare mediante dispositivi automatici di chiamata, telefax o posta elettronica, compresi i messaggi SMS e dopo aver avvertito che tali forme di comunicazioni commerciali indesiderate possono da un lato essere relativamente facili ed economiche da inviare e dall'altro imporre un onere e/o un costo al destinatario , e che inoltre, in taluni casi il loro volume può causare difficoltà per le reti di comunicazione elettronica e le apparecchiature terminali , ha avuto cura di specificare che per tali forme di comunicazioni indesiderate a scopo di commercializzazione diretta è giustificato prevedere che le relative chiamate possano essere inviate ai destinatari solo previo consenso esplicito di questi ultimi , poiché - si dice ancora - il mercato unico prevede un approccio armonizzato per garantire norme semplici a livello comunitario , sia per le aziende che gli utenti. VIII. - La ratio complessiva sottesa a siffatte previsioni induce allora - per l'appunto e semplicemente - a equiparare la mancanza del consenso al dissenso, per modo di affermare che, ove il consenso alle campagne di marketing non sia stato anteriormente prestato, la condizione è nel senso di doversi ritenere che lo stesso sia stato semplicemente già negato al momento del contratto. Cosicché ogni successiva attività integrata da comunicazioni automatizzate volte a farne mutare il senso diventa essa stessa un'interferenza illegittima, poiché finalizzata a commercializzare il servizio aggiuntivo nonostante la mancanza del consenso esplicito. Poiché - come dice la Direttiva - la condizione di fondo è quella di un mercato unico previdente approcci armonizzati per garantire norme comportamentali semplici a livello comunitario, sarebbe in contrasto con la Direttiva medesima ipotizzare un meccanismo valutativo sofistico del tipo di quello preteso dalla omissis e validato dal Tribunale di Roma. IX. - In conclusione, il ricorso va accolto e l'impugnata sentenza cassata. Segue il rinvio al medesimo tribunale di Roma, in diversa composizione, per nuovo esame. Il tribunale si uniformerà agli esposti principi e provvederà anche sulle spese del giudizio svoltosi in questa sede di legittimità. P.Q.M. La Corte accoglie il ricorso, cassa l'impugnata sentenza e rinvia al tribunale di Roma anche per le spese del giudizio di cassazione. Dispone che, in caso di diffusione della presente ordinanza, siano omesse le generalità e gli altri dati significativi.