1 o ottobre 2019 (*1)
«Rinvio pregiudiziale – Direttiva 95/46/CE – Direttiva 2002/58/CE – Regolamento (UE) 2016/679 – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Cookie – Nozione di consenso dell’interessato – Dichiarazione di consenso mediante una casella di spunta preselezionata»
Nella causa C‑673/17,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dal Bundesgerichtshof (Corte federale di giustizia, Germania), con decisione del 5 ottobre 2017, pervenuta in cancelleria il 30 novembre 2017, nel procedimento
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV
contro
Planet49 GmbH,
LA CORTE (Grande Sezione),
composta da K. Lenaerts, presidente, R. Silva de Lapuerta, vicepresidente, J.‑C. Bonichot, M. Vilaras, T. von Danwitz, C. Toader, F. Biltgen, K. Jürimäe e C. Lycourgos, presidenti di sezione, A. Rosas (relatore), L. Bay Larsen, M. Safjan e S. Rodin, giudici,
avvocato generale: M. Szpunar
cancelliere: D. Dittert, capo unità
vista la fase scritta del procedimento e in seguito all’udienza del 13 novembre 2018,
considerate le osservazioni presentate:
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 21 marzo 2019,
ha pronunciato la seguente
1La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 2, lettera f), e dell’articolo 5, paragrafo 3, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) ( GU 2002, L 201, pag. 37 ), come modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009 ( GU 2009, L 337, pag. 11 ) (in prosieguo: la «direttiva 2002/58»), letti in combinato disposto con l’articolo 2, lettera h), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( GU 1995, L 281, pag. 31 ), e dell’articolo 6, paragrafo 1, lettera a), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46 (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ).
2Tale domanda è stata presentata nell’ambito di una controversia tra la Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (federazione delle organizzazioni e associazioni di consumatori – federazione delle organizzazioni di consumatori, Germania) (in prosieguo: la «federazione») e la Planet49 GmbH, una società che propone giochi online, in merito al consenso, da parte dei partecipanti a un gioco a premi organizzato da detta società, al trasferimento dei loro dati personali agli sponsor e ai partner della stessa, nonché all’archiviazione di informazioni e all’accesso a informazioni archiviate nell’apparecchiatura terminale di tali utenti.
Contesto normativo
3L’articolo 1 della direttiva 95/46 prevede quanto segue:
«1. Gli Stati membri garantiscono, conformemente alle disposizioni della presente direttiva, la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.
2Gli Stati membri non possono restringere o vietare la libera circolazione dei dati personali tra Stati membri, per motivi connessi alla tutela garantita a norma del paragrafo 1».
4L’articolo 2 della direttiva in parola così dispone:
«Ai fini della presente direttiva si intende per:
(…)
5L’articolo 7 di detta direttiva così prevede:
«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
(…)».
6A norma dell’articolo 10 della medesima direttiva:
«Gli Stati membri dispongono che il responsabile del trattamento, o il suo rappresentante, debba fornire alla persona presso la quale effettua la raccolta dei dati che la riguardano almeno le informazioni elencate qui di seguito, a meno che tale persona ne sia già informata:
nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronti della persona interessata».
7I considerando 17 e 24 della direttiva 2002/58 enunciano quanto segue:
«(17)
Ai fini della presente direttiva il consenso dell’utente o dell’abbonato, senza considerare se quest’ultimo sia una persona fisica o giuridica, dovrebbe avere lo stesso significato del consenso della persona interessata come definito ed ulteriormente determinato nella direttiva [95/46]. Il consenso può essere fornito secondo qualsiasi modalità appropriata che consenta all’utente di esprimere liberamente e in conoscenza di causa i suoi desideri specifici, compresa la selezione di un’apposita casella nel caso di un sito Internet.
(…)
8L’articolo 1 della direttiva 2002/58 prevede quanto segue:
«1. La presente direttiva prevede l’armonizzazione delle disposizioni nazionali necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno [dell’Unione europea].
2Ai fini di cui al paragrafo 1, le disposizioni della presente direttiva precisano e integrano la direttiva [95/46]. (…)».
9L’articolo 2 di tale direttiva così dispone:
«Salvo diversa disposizione, ai fini della presente direttiva si applicano le definizioni di cui alla direttiva [95/46] e alla direttiva 2002/21/CE del Parlamento europeo e del Consiglio, del 7 marzo 2002, che istituisce un quadro normativo comune per le reti e i servizi di comunicazione elettronica (direttiva quadro) [ GU 2002, L 108, pag. 33 ].
Si applicano inoltre le seguenti definizioni:
(…)
(…)».
10L’articolo 5, paragrafo 3, di detta direttiva prevede quanto segue:
«Gli Stati membri assicurano che l’archiviazione di informazioni oppure l’accesso a informazioni già archiviate nell’apparecchiatura terminale di un abbonato o di un utente sia consentito unicamente a condizione che l’abbonato o l’utente in questione abbia espresso preliminarmente il proprio consenso, dopo essere stato informato in modo chiaro e completo, a norma della direttiva [95/46], tra l’altro sugli scopi del trattamento. Ciò non vieta l’eventuale archiviazione tecnica o l’accesso al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio».
11Il considerando 32 del regolamento 2016/679 enuncia quanto segue:
«Il consenso dovrebbe essere espresso mediante un atto positivo inequivocabile con il quale l’interessato manifesta l’intenzione libera, specifica, informata e inequivocabile di accettare il trattamento dei dati personali che lo riguardano, ad esempio mediante dichiarazione scritta, anche attraverso mezzi elettronici, o orale. Ciò potrebbe comprendere la selezione di un’apposita casella in un sito web, la scelta di impostazioni tecniche per servizi della società dell’informazione o qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente in tale contesto che l’interessato accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il silenzio, l’inattività o la preselezione di caselle. Il consenso dovrebbe applicarsi a tutte le attività di trattamento svolte per la stessa o le stesse finalità. Qualora il trattamento abbia più finalità, il consenso dovrebbe essere prestato per tutte queste. Se il consenso dell’interessato è richiesto attraverso mezzi elettronici, la richiesta deve essere chiara, concisa e non interferire immotivatamente con il servizio per il quale il consenso è espresso».
12L’articolo 4 di tale regolamento dispone quanto segue:
«Ai fini del presente regolamento s’intende per:
(…)
(…)».
13L’articolo 6 di detto regolamento prevede quanto segue:
«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
(…)».
14L’articolo 7, paragrafo 4, del medesimo regolamento recita quanto segue:
«Nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l’eventualità, tra le altre, che l’esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all’esecuzione di tale contratto».
15Ai sensi dell’articolo 13, paragrafi 1 e 2, del regolamento 2016/679:
«1. In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
(…)
(…)
2In aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i dati personali sono ottenuti, il titolare del trattamento fornisce all’interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente:
(…)».
16L’articolo 94 di detto regolamento dispone quanto segue:
«1. La direttiva [95/46] è abrogata a decorrere dal 25 maggio 2018.
2I riferimenti alla direttiva abrogata si intendono fatti al presente regolamento. I riferimenti al gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito dall’articolo 29 della direttiva [95/46] si intendono fatti al comitato europeo per la protezione dei dati istituito dal presente regolamento».
17Ai sensi dell’articolo 307, paragrafo 1, primo periodo, del Bürgerliches Gesetzbuch (codice civile; in prosieguo il: «BGB») «le clausole contenute in condizioni generali di contratto sono inefficaci, se, in violazione del principio della buona fede, svantaggiano eccessivamente la controparte contrattuale di chi le utilizza».
18L’articolo 307, paragrafo 2, punto 1, del BGB stabilisce che, nel dubbio, «uno svantaggio eccessivo si deve supporre, se una clausola non è compatibile con i principi fondamentali della disciplina legale che ha derogato».
19L’articolo 12 del Telemediengesetz (legge sui media elettronici), del 26 febbraio 2007 (BGBl. 2007 I, pag. 179), nella sua versione applicabile al procedimento principale (in prosieguo: il «TMG»), prevede quanto segue:
«(1) Il fornitore di servizi può raccogliere e utilizzare dati personali per offrire media elettronici solo laddove ciò sia consentito dalla presente legge o da un’altra norma riguardante espressamente i media elettronici, ovvero qualora l’utente vi abbia prestato consenso.
(2) Il fornitore di servizi può utilizzare ad altri fini i dati personali raccolti per la messa a disposizione di media elettronici solo laddove ciò sia consentito dalla presente legge o da un’altra norma riguardante espressamente i media elettronici, ovvero qualora l’utente vi abbia prestato consenso.
(3) Ove non sia diversamente stabilito, la legislazione in vigore in materia di dati personali dev’essere applicata anche qualora i dati non siano oggetto di trattamento automatizzato».
20Ai sensi dell’articolo 13, paragrafo 1, del TMG, all’inizio dell’utilizzazione, il fornitore di servizi deve informare l’utente, in forma generalmente comprensibile, circa il tipo, la portata e le finalità della raccolta e dell’utilizzo di dati personali, salvo che siffatte informazioni siano state fornite in precedenza. In caso di procedura automatizzata che consenta una successiva identificazione dell’utente e predisponga una raccolta o un utilizzo di dati personali, l’utente dev’essere informato all’inizio di detta procedura.
21A termini dell’articolo 15, paragrafo 3, del TMG, a fini di pubblicità, ricerche di mercato o per un’appropriata configurazione dei media elettronici, il fornitore di servizi può creare profili di utilizzo con l’impiego di pseudonimi, purché l’utente non vi si opponga dopo essere stato informato del proprio diritto di opposizione.
22Secondo la definizione di cui all’articolo 3, paragrafo 1, del Bundesdatenschutzgesetz (legge federale sulla protezione dei dati), del 20 dicembre 1990 (BGBl. 1990 I, pag. 2954), nella sua versione applicabile al procedimento principale (in prosieguo: il «BDSG»), «i dati personali sono dati particolari su condizioni personali o materiali di una persona fisica determinata o determinabile (interessato)».
23Ai sensi della definizione contenuta nell’articolo 3, paragrafo 3, del BDSG, per raccolta si intende l’acquisizione dei dati riguardanti l’interessato.
24L’articolo 4a, paragrafo 1, prima frase, del BDSG, che ha recepito l’articolo 2, lettera h), della direttiva 95/46, prevede che il consenso sia efficace solo se si basa sulla libera decisione dell’interessato.
25Il 24 settembre 2013 la Planet49 ha organizzato un gioco a premi sul sito Internet www.dein-macbook.de.
26Gli utenti di Internet che desideravano partecipare a detto gioco dovevano fornire il loro codice postale, il che li rinviava ad una pagina web in cui dovevano inserire il loro nome e il loro indirizzo. Al di sotto dei campi da riempire per l’indirizzo si trovavano due didascalie accompagnate da caselle di spunta. La prima didascalia, la cui rispettiva casella (in prosieguo: la «prima casella di spunta») non era preselezionata, recitava come segue:
«Acconsento a ricevere informazioni per posta, per telefono, per posta elettronica o via SMS da sponsor e partner sulle offerte del loro rispettivo settore commerciale . È mia facoltà stabilire qui autonomamente i soggetti legittimati ad inviarmi dette offerte, in caso contrario la scelta spetta all’organizzatore. Posso revocare il consenso in qualsiasi momento. Ulteriori informazioni al riguardo si trovano qui ».
27La seconda didascalia, la cui rispettiva casella (in prosieguo: «la seconda casella di spunta») era preselezionata, recitava come segue:
«Acconsento a sottopormi al servizio di analisi web Remintrex. Di conseguenza, l’organizzatore del gioco a premi, [la Planet49], a seguito dell’approvazione della mia registrazione al gioco, installa cookie al fine di analizzare tramite Remintrex le mie navigazioni sul web e le mie visite ai siti Internet dei partner commerciali e di inviarmi pubblicità centrata sui miei interessi. Posso cancellare i cookie in ogni momento. Per ulteriori dettagli si legga qui ».
28Era possibile partecipare al gioco a premi solo dopo aver selezionato quanto meno la prima casella di spunta.
29Il link, sottostante alle parole «sponsor e partner» e «qui», contenuto nella prima didascalia che accompagnava la prima casella di spunta, rinviava ad un elenco di 57 imprese contenente i rispettivi indirizzi, il settore commerciale da pubblicizzare e la modalità di comunicazione utilizzata per la pubblicità (posta elettronica, posta o telefono). Il termine sottolineato «eliminare» compariva dopo il nome di ciascuna impresa. L’elenco era preceduto dal seguente avviso:
«Cliccando sul link “eliminare” stabilisco che non può essere comunicato al menzionato partner/sponsor il consenso a fini pubblicitari. Ove io non abbia eliminato alcun partner/sponsor o non ne abbia eliminato un numero sufficiente, la Planet49 compirà la scelta dei partner/sponsor per mio conto a sua discrezione (numero massimo: 30 partner/sponsor)».
30Attivando il link, sottostante alla parola «qui», contenuto nella didascalia che accompagnava la seconda casella di spunta, compariva il seguente messaggio:
«I cookie installati con il nome ceng_cache, ceng_etag, ceng_png e gcr consistono in file di piccole dimensioni memorizzati sul Suo disco rigido dal browser da Lei utilizzato, che trasmettono determinate informazioni che consentono una pubblicità più efficace e meglio adattata all’utente. I cookie contengono un codice numerico determinato casualmente (ID), contestualmente associato ai Suoi dati di registrazione. Ove, successivamente, Lei visiti il sito di un partner pubblicitario registrato per Remintrex (per verificare l’esistenza di tale registrazione si consulti la dichiarazione del partner sulla protezione dei dati personali), verranno automaticamente rilevati, mediante un iFrame di Remintrex ivi incorporato, la visita che Lei (vale a dire l’utente associato all’ID memorizzato) ha effettuato alla pagina, il prodotto per il quale Lei ha mostrato interesse, nonché l’eventuale conclusione di un contratto.
In forza del consenso a ricevere pubblicità espresso attraverso la registrazione al gioco a premi, [la Planet49] può dunque farLe pervenire messaggi pubblicitari di posta elettronica sulla base dell’interesse da Lei manifestato sul sito Internet del partner pubblicitario. Naturalmente, in caso di revoca del consenso a ricevere pubblicità, non riceverà più alcuna pubblicità per posta elettronica.
Le informazioni trasmesse tramite i cookie vengono impiegate esclusivamente per la pubblicità nella quale sono presentati prodotti del partner pubblicitario. Le informazioni vengono raccolte, archiviate e utilizzate separatamente per ciascun partner pubblicitario. In nessun caso verrà compiuta attività di profilazione degli utenti destinata a più partner pubblicitari. I vari partner pubblicitari non ricevono dati personali.
Ove Lei non abbia più interesse all’uso dei cookie, può cancellarli in qualsiasi momento attraverso il Suo browser. Le istruzioni per farlo possono essere reperite nella funzione [“aiuto”] del Suo browser.
I cookie non consentono di esportare programmi, né di trasferire virus.
Naturalmente, Le è possibile revocare il consenso prestato in qualsiasi momento. La revoca può essere inviata per iscritto alla [Planet49] [indirizzo]. È tuttavia sufficiente anche un semplice messaggio di posta elettronica al nostro servizio clienti [indirizzo di posta elettronica]».
31Dalla decisione di rinvio emerge che i cookie sono file che il fornitore di un sito Internet installa nel computer dell’utente di tale sito e ai quali il fornitore può nuovamente accedere durante una nuova visita del sito da parte dell’utente, per facilitare la navigazione in Internet o transazioni oppure al fine di ottenere informazioni sul comportamento dell’utente.
32Nell’ambito di una diffida rimasta priva di effetto, la federazione, che figura nell’elenco degli organismi legittimati ad agire ai sensi dell’articolo 4 del Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (legge relativa alle azioni inibitorie in caso di violazioni della normativa a tutela dei consumatori e altre violazioni), del 26 novembre 2001 (BGBl. 2001 I, pag. 3138), ha sostenuto che le dichiarazioni di consenso richieste dalla Planet49 con la prima e la seconda casella di spunta non soddisfano i requisiti prescritti dal combinato disposto dell’articolo 307 del BGB, dell’articolo 7, paragrafo 2, punto 2, del Gesetz gegen den unlauteren Wettbewerb (legge contro la concorrenza sleale), del 3 luglio 2004 (BGBl. 2004 I, pag. 1414), nella sua versione applicabile al procedimento principale, e degli articoli 12 e seguenti del TMG.
33La federazione ha proposto, dinanzi al Landgericht Frankfurt am Main (Tribunale del Land, Francoforte sul Meno, Germania) un ricorso diretto, in sostanza, a far cessare le richieste di siffatte dichiarazioni di consenso, da parte della Planet49, e a far condannare la società a corrisponderle l’importo di EUR 214, oltre agli interessi a decorrere dal 15 marzo 2014.
34Il Landgericht Frankfurt am Main (Tribunale del Land, Francoforte sul Meno) ha parzialmente accolto tale ricorso.
35A seguito di appello proposto dalla Planet49 dinanzi all’Oberlandesgericht Frankfurt am Main (Tribunale superiore del Land, Francoforte sul Meno, Germania), tale giudice ha ritenuto che la domanda della federazione – diretta a far cessare l’inclusione, da parte della Planet 49, nei contratti di gioco a premi con i consumatori, della didascalia di cui al punto 27 della presente sentenza, la cui seconda casella di spunta era preselezionata – fosse infondata in quanto, da un lato, l’utente era a conoscenza della possibilità di deselezionare detta casella e, dall’altro, la casella medesima appariva sufficientemente chiara da un punto di vista tipografico e forniva informazioni sulle modalità di utilizzo dei cookie, senza che fosse necessario rendere nota l’identità dei terzi che avrebbero potuto avere accesso alle informazioni raccolte.
36Il Bundesgerichtshof (Corte federale di giustizia, Germania), adito con ricorso per cassazione (« Revision ») proposto dalla federazione, ritiene che l’esito della controversia di cui al procedimento principale dipenda dall’interpretazione del combinato disposto dell’articolo 5, paragrafo 3, e dell’articolo 2, lettera f), della direttiva 2002/58, dell’articolo 2, lettera h), della direttiva 95/46, nonché dell’articolo 6, paragrafo 1, lettera a), del regolamento 2016/679.
37Nutrendo dubbi sulla validità, alla luce di tali disposizioni, dell’ottenimento, da parte della Planet49, del consenso prestato dagli utenti del sito Internet www.dein-macbook.de mediante la seconda casella di spunta, nonché sulla portata dell’obbligo di informazione di cui all’articolo 5, paragrafo 3, della direttiva 2002/58, il Bundesgerichtshof (Corte federale di giustizia) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1)
38In limine, occorre esaminare l’applicabilità della direttiva 95/46 e del regolamento 2016/679 ai fatti di cui al procedimento principale.
39A decorrere dal 25 maggio 2018, la direttiva 95/46 è stata abrogata e sostituita dal regolamento 2016/679, in virtù dell’articolo 94, paragrafo 1, di quest’ultimo.
40Indubbiamente, tale data è successiva alla data dell’ultima udienza tenutasi dinanzi al giudice del rinvio, che si è svolta il 14 luglio 2017, nonché alla data in cui la domanda di pronuncia pregiudiziale è stata proposta alla Corte da detto giudice.
41Tuttavia, il giudice del rinvio ha indicato che, tenuto conto dell’entrata in vigore, il 25 maggio 2018, del regolamento 2016/679, su cui verte peraltro una parte della prima questione, era probabile che tale regolamento dovesse essere preso in considerazione nel risolvere la controversia di cui trattasi nel procedimento principale. Inoltre, come rilevato dal governo tedesco all’udienza dinanzi alla Corte, non è escluso che, poiché il procedimento promosso dalla federazione intende far cessare la condotta della Planet49 per il futuro, il regolamento 2016/679 sia applicabile ratione temporis nell’ambito del procedimento principale alla luce della pertinente giurisprudenza nazionale relativa alle fattispecie oggetto di azioni inibitorie, circostanza che spetta al giudice del rinvio verificare (v., per quanto riguarda un ricorso di natura dichiarativa, sentenza del 16 gennaio 2019, Deutsche Post, C‑496/17 , EU:C:2019:26 , punto 38 ).
42In tali circostanze e in considerazione del fatto che, in forza dell’articolo 94, paragrafo 2, del regolamento 2016/679, i riferimenti alla direttiva 95/46, contenuti nella direttiva 2002/58, si intendono fatti al suddetto regolamento, non è escluso che, nel caso di specie, la direttiva 2002/58 si applichi unitamente alla direttiva 95/46 o al regolamento 2016/679, in funzione della natura delle domande della federazione e del periodo interessato.
43Occorre dunque rispondere alle questioni sollevate sulla base sia della direttiva 95/46 che del regolamento 2016/679.
Sulla prima questione, lettere a) e c)
44Con la sua prima questione, lettere a) e c), il giudice del rinvio chiede, in sostanza, se l’articolo 2, lettera f), e l’articolo 5, paragrafo 3, della direttiva 2002/58, letti in combinato disposto con l’articolo 2, lettera h), della direttiva 95/46, nonché con l’articolo 6, paragrafo 1, lettera a), del regolamento 2016/679, debbano essere interpretati nel senso che il consenso di cui a tali disposizioni è validamente espresso quando l’archiviazione di informazioni o l’accesso a informazioni già archiviate, mediante cookie, nell’apparecchiatura terminale di un utente di un sito Internet sono autorizzati mediante una casella preselezionata che l’utente deve dunque deselezionare al fine di negare il proprio consenso.
45In via preliminare, occorre precisare che, secondo le indicazioni contenute nella decisione di rinvio, i cookie che possono essere installati nell’apparecchiatura terminale di un utente che partecipa al gioco a premi organizzato dalla Planet49 contengono un codice numerico associato ai dati di registrazione di tale utente, il quale deve inserire il suo nome e il suo indirizzo nel modulo di partecipazione a detto gioco. Il giudice del rinvio aggiunge che il fatto di abbinare tale codice a detti dati personalizza i dati archiviati dai cookie quando l’utente utilizza Internet, cosicché la raccolta di questi dati mediante cookie rientra nel trattamento di dati personali. Le suddette indicazioni sono state confermate dalla Planet49, che ha sottolineato, nelle sue osservazioni scritte, che il consenso corrispondente alla seconda casella di spunta è inteso ad autorizzare la raccolta e il trattamento di dati personali e non di informazioni anonime.
46Fatta tale precisazione, occorre rilevare che, conformemente all’articolo 5, paragrafo 3, della direttiva 2002/58, gli Stati membri assicurano che l’archiviazione di informazioni oppure l’accesso a informazioni già archiviate nell’apparecchiatura terminale di un utente siano consentiti unicamente a condizione che l’utente in questione abbia espresso preliminarmente il proprio consenso, dopo essere stato informato in modo chiaro e completo, a norma della direttiva 95/46, tra l’altro sugli scopi del trattamento.
47A tal riguardo, si deve ricordare che dalle esigenze tanto dell’applicazione uniforme del diritto dell’Unione quanto del principio di uguaglianza discende che i termini di una disposizione del diritto dell’Unione, la quale non contenga alcun rinvio espresso al diritto degli Stati membri al fine di determinare il suo senso e la sua portata, devono normalmente dar luogo, in tutta l’Unione, ad un’interpretazione autonoma e uniforme [sentenze del 26 marzo 2019, SM (Minore soggetto alla kafala algerina), C‑129/18 , EU:C:2019:248 , punto 50 , e dell’11 aprile 2019, Tarola, C‑483/17 , EU:C:2019:309 , punto 36 ].
48Inoltre, secondo una costante giurisprudenza della Corte, quando si interpreta una disposizione del diritto dell’Unione occorre tenere conto non soltanto della formulazione di quest’ultima e degli obiettivi da essa perseguiti, ma anche del suo contesto e dell’insieme delle disposizioni del diritto dell’Unione. La genesi di una disposizione del diritto dell’Unione può fornire elementi pertinenti per la sua interpretazione (sentenza del 10 dicembre 2018, Wightman e a., C‑621/18 , EU:C:2018:999 , punto 47 e giurisprudenza citata).
49Per quanto attiene alla formulazione dell’articolo 5, paragrafo 3, della direttiva 2002/58, occorre osservare che, sebbene tale disposizione preveda esplicitamente che l’utente deve aver «espresso preliminarmente il proprio consenso» all’installazione e alla consultazione di cookie nella propria apparecchiatura terminale, detta disposizione non contiene, invece, indicazioni relative al modo in cui tale consenso debba essere espresso. I termini «espresso preliminarmente il proprio consenso» si prestano, tuttavia, ad un’interpretazione letterale secondo cui un’azione dell’utente è necessaria per esprimere il suo consenso. A tale proposito, dal considerando 17 della direttiva 2002/58 emerge che il consenso dell’utente, ai fini di detta direttiva, può essere fornito secondo qualsiasi modalità appropriata che consenta all’utente di esprimere liberamente e in conoscenza di causa i suoi desideri specifici, in particolare, attraverso la «selezione di un’apposita casella nel caso di un sito Internet».
50Per quanto riguarda il contesto in cui si colloca l’articolo 5, paragrafo 3, della direttiva 2002/58, occorre precisare che l’articolo 2, lettera f), di tale direttiva, che definisce il «consenso» ai sensi della stessa, rinvia, a tal riguardo, al «consenso della persona interessata» di cui alla direttiva 95/46. Il considerando 17 della direttiva 2002/58 precisa che il consenso dell’utente, ai fini di tale direttiva, dovrebbe avere lo stesso significato del consenso della persona interessata come definito ed ulteriormente determinato nella direttiva 95/46.
51L’articolo 2, lettera h), di quest’ultima definisce il «consenso della persona interessata» come «qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento».
52Pertanto, come sottolineato dall’avvocato generale al paragrafo 60 delle sue conclusioni, il requisito della «manifestazione» della volontà della persona interessata evoca chiaramente un comportamento attivo e non uno passivo. Orbene, il consenso espresso mediante una casella di spunta preselezionata non implica un comportamento attivo da parte dell’utente di un sito Internet.
53Tale interpretazione è avvalorata dall’articolo 7 della direttiva 95/46, che prevede un elenco esaustivo dei casi in cui il trattamento di dati personali può essere considerato lecito (v., in tal senso, sentenze del 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 e C‑469/10 , EU:C:2011:777 , punto 30 , e del 19 ottobre 2016, Breyer, C‑582/14 , EU:C:2016:779 , punto 57 ).
54In particolare, l’articolo 7, lettera a), della direttiva 95/46 prevede che il consenso della persona interessata può rendere un siffatto trattamento lecito purché tale consenso sia manifestato «in maniera inequivocabile» dalla persona interessata. Orbene, solo un comportamento attivo da parte di detta persona al fine di manifestare il proprio consenso è idoneo a soddisfare tale requisito.
55A tal riguardo, risulta praticamente impossibile determinare in modo oggettivo se, non deselezionando una casella preselezionata, l’utente di un sito Internet abbia effettivamente manifestato il proprio consenso al trattamento dei suoi dati personali, nonché, in ogni caso, se tale consenso sia stato manifestato in modo informato. Non può, infatti, essere escluso che detto utente non abbia letto l’informazione che accompagna la casella preselezionata, o addirittura che lo stesso non abbia visto tale casella, prima di continuare la propria attività sul sito Internet che visita.
56Infine, per quanto riguarda la genesi dell’articolo 5, paragrafo 3, della direttiva 2002/58, occorre constatare che la versione iniziale di tale disposizione prevedeva solo il requisito che l’utente abbia la «possibilità di rifiutare» l’installazione di cookie, dopo essere stato informato in modo chiaro e completo, a norma della direttiva 95/46, tra l’altro sugli scopi del trattamento. La direttiva 2009/136 ha apportato una modifica sostanziale al testo di tale disposizione, sostituendo detti termini con i termini «espresso preliminarmente il proprio consenso». La genesi dell’articolo 5, paragrafo 3, della direttiva 2002/58 tende dunque a indicare che il consenso dell’utente non può più essere presunto e deve risultare dal comportamento attivo di quest’ultimo.
57Alla luce degli elementi che precedono, il consenso di cui all’articolo 2, lettera f), e all’articolo 5, paragrafo 3, della direttiva 2002/58, letti in combinato disposto con l’articolo 2, lettera h), della direttiva 95/46 non è, pertanto, validamente espresso quando l’archiviazione di informazioni o l’accesso alle informazioni già archiviate nell’apparecchiatura terminale dell’utente sono autorizzati mediante una casella preselezionata dal fornitore del servizio, che l’utente dovrebbe deselezionare al fine di negare il proprio consenso.
58Occorre aggiungere che la manifestazione di volontà di cui all’articolo 2, lettera h), della direttiva 95/46 deve, in particolare, essere «specifica», nel senso che deve riferirsi precisamente al trattamento dei dati interessati e non può essere desunta da una manifestazione della volontà avente un oggetto distinto.
59Nel caso di specie, contrariamente a quanto sostenuto dalla Planet49, il fatto che l’utente attivi il pulsante di partecipazione al gioco a premi organizzato da detta società non può essere, pertanto, sufficiente per ritenere che l’utente abbia validamente espresso il suo consenso all’installazione di cookie.
60L’interpretazione che precede si impone, a maggior ragione, alla luce del regolamento 2016/679.
61Infatti, come ha constatato, in sostanza, l’avvocato generale al paragrafo 70 delle sue conclusioni, la formulazione dell’articolo 4, punto 11, del regolamento 2016/679, che definisce il «consenso dell’interessato», ai fini di tale regolamento, e, in particolare, del suo articolo 6, paragrafo 1, lettera a), cui si riferisce la prima questione, lettera c), risulta ancora più rigorosa di quella dell’articolo 2, lettera h), della direttiva 95/46, in quanto richiede una manifestazione della volontà «libera, specifica, informata e inequivocabile» dell’interessato, consistente in una dichiarazione o in un’«azione positiva inequivocabile», che sancisca il consenso dello stesso al trattamento di dati personali che lo riguardano.
62Il consenso attivo è ora, dunque, espressamente previsto dal regolamento 2016/679. Si deve rilevare, a tal riguardo, che, secondo il considerando 32 di tale regolamento, la manifestazione del consenso potrebbe comprendere, in particolare, la selezione di un’apposita casella in un sito Internet. Il suddetto considerando esclude invece espressamente che «il silenzio, l’inattività o la preselezione di caselle» configurino consenso.
63Ne consegue che il consenso di cui all’articolo 2, lettera f), e all’articolo 5, paragrafo 3, della direttiva 2002/58, letti in combinato disposto con l’articolo 4, punto 11, e l’articolo 6, paragrafo 1, lettera a), del regolamento 2016/679, non è validamente espresso quando l’archiviazione di informazioni o l’accesso a informazioni già archiviate nell’apparecchiatura terminale dell’utente di un sito Internet sono autorizzati mediante una casella preselezionata che l’utente deve deselezionare al fine di negare il proprio consenso.
64Occorre, infine, sottolineare che il giudice del rinvio non ha sottoposto alla Corte la questione se sia compatibile con il requisito del consenso «libero», ai sensi dell’articolo 2, lettera h), della direttiva 95/46 nonché dell’articolo 4, punto 11, e dell’articolo 7, paragrafo 4, del regolamento 2016/679, il fatto che la possibilità per un utente di partecipare a un gioco a premi sia subordinata al consenso di quest’ultimo al trattamento dei suoi dati personali a fini pubblicitari, ipotesi che sembra ricorrere nel caso di specie, secondo le indicazioni contenute nella decisione di rinvio, quanto meno per la prima casella di spunta. Non occorre pertanto che la Corte esamini tale questione.
65Alla luce di tutte le considerazioni che precedono, occorre rispondere alla prima questione, lettere a) e c), che l’articolo 2, lettera f), e l’articolo 5, paragrafo 3, della direttiva 2002/58, letti in combinato disposto con l’articolo 2, lettera h), della direttiva 95/46, nonché con l’articolo 4, punto 11, e l’articolo 6, paragrafo 1, lettera a), del regolamento 2016/679, devono essere interpretati nel senso che il consenso di cui a tali disposizioni non è validamente espresso quando l’archiviazione di informazioni o l’accesso a informazioni già archiviate nell’apparecchiatura terminale dell’utente di un sito Internet attraverso cookie sono autorizzati mediante una casella di spunta preselezionata che l’utente deve deselezionare al fine di negare il proprio consenso.
Sulla prima questione, lettera b)
66Con la sua prima questione, lettera b), il giudice del rinvio chiede, in sostanza, se l’articolo 2, lettera f), e l’articolo 5, paragrafo 3, della direttiva 2002/58, letti in combinato disposto con l’articolo 2, lettera h), della direttiva 95/46, nonché con l’articolo 4, punto 11 e l’articolo 6, paragrafo 1, lettera a), del regolamento 2016/679, debbano essere interpretati in modo diverso a seconda che le informazioni archiviate o consultate nell’apparecchiatura terminale dell’utente di un sito Internet costituiscano o meno dati personali, ai sensi della direttiva 95/46 e del regolamento 2016/679.
67Come rilevato al punto 45 della presente sentenza, dalla decisione di rinvio emerge che l’installazione dei cookie di cui trattasi nel procedimento principale rientra nel trattamento di dati personali.
68Fatta tale precisazione, occorre in ogni caso constatare che l’articolo 5, paragrafo 3, della direttiva 2002/58 fa riferimento all’«archiviazione di informazioni» e all’«accesso a informazioni già archiviate», senza qualificare tali informazioni né precisare che queste debbano essere dati personali.
69Come osservato dall’avvocato generale al paragrafo 107 delle sue conclusioni, tale disposizione mira dunque a proteggere l’utente da qualsiasi ingerenza nella sua vita privata, indipendentemente dal fatto che detta ingerenza riguardi o meno dati personali.
70Tale interpretazione è avvalorata dal considerando 24 della direttiva 2002/58, secondo il quale qualsiasi informazione archiviata nell’apparecchiatura terminale degli utenti di reti di comunicazione elettronica fa parte della sfera privata dell’utente, che deve essere tutelata ai sensi della convenzione europea per la protezione dei diritti dell’uomo e delle libertà fondamentali. Detta tutela si applica a qualsiasi informazione archiviata in tale apparecchiatura terminale, indipendentemente dal fatto che si tratti o meno di dati personali ed è volta, in particolare, come risulta dal medesimo considerando, a tutelare gli utenti dal rischio che identificatori occulti o altri dispositivi analoghi si introducano nell’apparecchiatura terminale dell’utente a sua insaputa.
71Alla luce delle suesposte considerazioni, occorre rispondere alla prima questione, lettera b), dichiarando che l’articolo 2, lettera f), e l’articolo 5, paragrafo 3, della direttiva 2002/58, letti in combinato disposto con l’articolo 2, lettera h), della direttiva 95/46, nonché con l’articolo 4, punto 11, e l’articolo 6, paragrafo 1, lettera a), del regolamento 2016/679, non devono essere interpretati in modo diverso a seconda che le informazioni archiviate o consultate nell’apparecchiatura terminale dell’utente di un sito Internet costituiscano o meno dati personali, ai sensi della direttiva 95/46 e del regolamento 2016/679.
72Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l’articolo 5, paragrafo 3, della direttiva 2002/58 debba essere interpretato nel senso che tra le informazioni che il fornitore di servizi deve comunicare all’utente di un sito Internet rientrano il periodo di attività dei cookie, nonché la possibilità o meno per i terzi di avere accesso a tali cookie.
73Come già emerso dal punto 46 della presente sentenza, l’articolo 5, paragrafo 3, della direttiva 2002/58 esige che l’utente abbia espresso preliminarmente il proprio consenso, dopo essere stato informato in modo chiaro e completo, «a norma della direttiva [95/46]», tra l’altro, sugli scopi del trattamento.
74Come rilevato dall’avvocato generale al paragrafo 115 delle sue conclusioni, un’informazione chiara e completa implica che un utente sia in grado di determinare agevolmente le conseguenze di un eventuale consenso prestato e assicurare che questo sia espresso con piena conoscenza di causa. Le informazioni fornite devono essere chiaramente comprensibili e sufficientemente dettagliate, al fine di consentire all’utente di comprendere il funzionamento dei cookie utilizzati.
75Orbene, in una situazione come quella di cui trattasi nel procedimento principale, nella quale, secondo le indicazioni contenute nel fascicolo sottoposto alla Corte, i cookie sono diretti a raccogliere informazioni a fini pubblicitari riguardanti prodotti dei partner dell’organizzatore di un gioco a premi, il periodo di attività dei cookie, nonché la possibilità o meno per i terzi di avere accesso a tali cookie rientrano nell’informazione chiara e completa da fornire all’utente ai sensi dell’articolo 5, paragrafo 3, della direttiva 2002/58.
76Al riguardo, occorre ricordare che l’articolo 10 della direttiva 95/46, alla quale fa riferimento l’articolo 5, paragrafo 3, della direttiva 2002/58, nonché l’articolo 13 del regolamento 2016/679 specificano le informazioni che il titolare del trattamento deve fornire alla persona presso la quale effettua la raccolta dei dati che la riguardano.
77Tali informazioni comprendono, segnatamente, in forza dell’articolo 10 della direttiva 95/46, oltre all’identità del titolare del trattamento e alle finalità del trattamento cui sono destinati i dati, ulteriori informazioni riguardanti i destinatari o le categorie di destinatari dei dati, nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronti della persona interessata.
78Pur se la durata del trattamento non compare tra tali informazioni, risulta tuttavia dal termine «almeno» contenuto nell’articolo 10 della direttiva 95/46 che queste ultime non sono elencate in modo esaustivo. Orbene, l’informazione sul periodo di attività dei cookie deve essere considerata rispondente al requisito del trattamento leale dei dati previsto dal suddetto articolo, in quanto, in una situazione come quella di cui trattasi nel procedimento principale, un lungo periodo di attività, o addirittura un periodo illimitato, implica la raccolta di numerose informazioni sulle abitudini di navigazione e sulla frequenza delle eventuali visite dell’utente ai siti dei partner pubblicitari dell’organizzatore del gioco a premi.
79Detta interpretazione è corroborata dall’articolo 13, paragrafo 2, lettera a), del regolamento 2016/679, che prevede che il titolare del trattamento debba fornire all’interessato, per garantire un trattamento corretto e trasparente, informazioni relative, in particolare, al periodo di conservazione dei dati personali oppure, se ciò non è possibile, ai criteri utilizzati per determinare tale periodo.
80Quanto alla possibilità o meno per i terzi di avere accesso a tali cookie, si tratta di un’informazione compresa tra le informazioni che figurano all’articolo 10, lettera c), della direttiva 95/46, nonché all’articolo 13, paragrafo 1, lettera e), del regolamento 2016/679, dal momento che tali disposizioni menzionano esplicitamente i destinatari o le categorie di destinatari.
81Alla luce delle considerazioni che precedono, occorre rispondere alla seconda questione dichiarando che l’articolo 5, paragrafo 3, della direttiva 2002/58 deve essere interpretato nel senso che il periodo di attività dei cookie, nonché la possibilità o meno per i terzi di avere accesso a tali cookie rientrano tra le informazioni che il fornitore di servizi deve comunicare all’utente di un sito Internet.
82Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Grande Sezione) dichiara:
Firme
(*1) Lingua processuale: il tedesco.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.