Una sentenza dell’11 novembre 2020 della Corte di giustizia europea è utile a ribadire l’interpretazione delle norme relative a clausole contrattuali e consenso libero e informato degli interessati, alla luce del GDPR.
La decisione infatti statuisce che un contratto contenente una clausola già spuntata, secondo cui l’interessato è stato informato ed ha acconsentito alla raccolta ed alla conservazione di una copia del suo documento di identità a fini di identificazione, non è idoneo a dimostrare che tale persona abbia validamente manifestato il proprio consenso.
Lo spunto deriva da una controversia tra l’Orange România SA e l’Autorità nazionale di sorveglianza del trattamento dei dati personali romena.
L’antefatto
La Corte di Giustizia si è pronunciata sulla domanda pregiudiziale C-61/19, sull’interpretazione dell’articolo 2, lettera h), della direttiva 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione dei dati e dell’articolo 4, punto 11, del regolamento (UE) 2016/679.
La Corte è stata investita del giudizio a seguito di una controversia tra l’Orange România SA – fornitore di servizi di telecomunicazioni mobile nel mercato rumeno – e l’Autorità nazionale di sorveglianza del trattamento dei dati personali romena, in merito ad un ricorso diretto all’annullamento di una decisione con la quale quest’ultima ha inflitto all’operatore un’ammenda per aver raccolto e conservato copie di documenti d’identità dei propri clienti senza il loro valido consenso ed ingiungendole di distruggere tali copie.
In tale decisione, l’ANSPDCP aveva rilevato che, nel periodo compreso tra il 1° e il 26 marzo del 2018, l’Orange România aveva concluso per iscritto contratti per la fornitura di servizi di telecomunicazione mobile con persone fisiche e che le copie dei documenti d’identità di tali persone erano allegate a detti contratti. Secondo l’ANSPDCP, la società non aveva fornito la prova che i suoi clienti, ai cui contratti erano allegate copie del loro documento di identità, avessero prestato il loro consenso valido in merito alla raccolta e alla conservazione di copie dei loro documenti d’identità. La contestazione mossa dall’Autorità romena si basava sulle seguenti clausole contrattuali:
- Il cliente è stato informato, prima della conclusione del contratto, relativamente al piano tariffario scelto, alle tariffe applicabili, alla durata minima del contratto, alle condizioni di cessazione del medesimo e a quelle per ottenere e utilizzare i servizi, inclusa l’area di copertura dei servizi (…);
- l’Orange România ha posto a disposizione del cliente tutte le informazioni necessarie affinché quest’ultimo potesse esprimere il consenso senza vizi, espresso, libero e specifico relativamente alla conclusione del contratto e all’impegno che esso comporta, inclusa tutta la documentazione contrattuale, i Termini e Condizioni generali per l’utilizzo dei servizi di Orange e il documento informativo di tariffe e servizi;
- il cliente è stato informato ed ha espresso il consenso relativamente: a) al trattamento dei dati personali ai fini previsti all’articolo 1.15 dei Termini e Condizioni generali per l’utilizzo dei servizi di Orange; b) al fatto che copie dei documenti contenenti dati personali volti alla sua identificazione siano conservate; c) all’accordo per il trattamento di dati personali (numero di contatto, e-mail) a fini di marketing diretto; d) all’accordo per il trattamento di dati personali (numero di contatto, e-mail) al fine di svolgere studi di mercato; e) ho letto e fornisco il consenso espresso affinché copie di quei documenti contenenti dati personali relativi allo stato di salute siano conservate; f) che i dati menzionati all’articolo 1.15 comma dei Termini e Condizioni generali per l’utilizzo dei servizi di Orange non siano inclusi nei servizi di informazione relativi agli abbonati e ai registri degli abbonati.
Il contesto normativo preso in esame dall’Autorità romena fa riferimento all’art. 2, lett. h) della direttiva 95/46/CE, il quale prevede che per consenso della persona interessata si debba intendere “qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento” nonché all’art. 4 del Regolamento GDPR, che specifica la definizione di consenso della persona interessata chiarendo che trattasi di “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento”; infine, la Corte prende in esame l’art 7 GDPR, il quale recita “qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali”.
Il rinvio pregiudiziale del Tribunale superiore di Bucarest
La società, trovandosi in disaccordo con quanto espresso dall’Autorità si era rivolta – proponendo ricorso – al Tribunale superiore di Bucarest. Quest’ultimo aveva accertato che da un lato esistevano contratti in cui una “crocetta” era stata inserita nella casella concernente la clausola relativa alla conservazione di copie degli atti contenenti dati personali a fini di identificazione e, dall’altro, contratti in cui tale “crocetta” mancava. Detto giudice precisava che, indipendentemente dalle indicazioni incluse nei Termini e condizioni generali di vendita, l’Orange România non ha negato ai clienti la sottoscrizione dei contratti di abbonamento anche se questi ultimi avevano rifiutato di acconsentire a che copia del loro documento di identità fosse conservata. Inoltre, tale giudice rilevava che le “procedure interne” di vendita dell’Orange România prevedevano che tale rifiuto dovesse essere documentato in un modulo specifico, da far firmare a tali clienti prima della conclusione del contratto.
Dunque, il giudice romeno si era chiesto se, in tali circostanze, si poteva sussistente un valido consenso alla raccolta del loro documento di identità da parte dei clienti ed all’allegazione delle copie dei documenti ai contratti sottoscritti. Inoltre, il tribunale si è domandato se la sottoscrizione di un contratto, nel quale figura la clausola relativa alla conservazione di copie degli atti contenenti dati personali a fini di identificazione, sia sufficiente a dimostrare l’esistenza di un siffatto consenso. Tali dubbiose circostanze hanno portato il Tribunale di Bucarest a sospendere il giudizio e sottoporre alla Corte di Giustizia le seguenti questioni pregiudiziali:
- quali sono le condizioni che devono essere soddisfatte per poter considerare che una manifestazione di volontà è una manifestazione specifica e informata (ai sensi dell’art. 2, lett. “h”);
- quali sono le condizioni che devono essere soddisfatte per poter considerare che una manifestazione di volontà è una manifestazione liberamente espressa (ai sensi dell’art. 2, lett. “h”).
La decisione della Corte di Giustizia
Preliminarmente, sulla base delle questioni pregiudiziali, la Corte di Giustizia ha rilevato che dal fascicolo sottoposto, l’Autorità romena non si è limitata ad infliggere un’ammenda all’Orange România, ma le aveva altresì imposto di distruggere le copie dei documenti d’identità in oggetto. Ciò premesso, la Corte di Giustizia ha individuato nelle due questioni pregiudiziali una sola chiave di lettura.
La prima considerazione operata dalla Corte muove dalla lettura congiunta dell’art. 2 lett. h), della direttiva 95/46/CE e dell’art. 4, punto 11 del Regolamento GDPR. Da tale analisi si può dedurre che entrambi i dettami normativi richiedono una manifestazione di volontà specifica, nel senso che deve riferirsi precisamente al trattamento dei dati interessati e non può essere desunta da una manifestazione di volontà avente un oggetto distinto. Inoltre, dato che il consenso deve necessariamente essere “informato” il titolare del trattamento deve fornire alla persona interessata un’informativa comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro, di modo che tale persona venga a conoscenza del tipo di dati che devono essere trattati, dell’identità del titolare del trattamento, della durata, nonché delle modalità e delle finalità che esso persegue.
Una siffatta informazione deve, dunque, consentire all’interessato di individuare agevolmente le conseguenze di un eventuale consenso prestato e assicurare che questo sia espresso con piena cognizione di causa. Tra l’altro in questo caso, l’onere della prova dell’esistenza di un valido consenso incombe al titolare del trattamento, come postulato dall’art. 7 GDPR, prova che – secondo la Corte – non è stata sufficientemente fornita dalla società poiché, sebbene i contratti contenessero una dichiarazione con cui i clienti affermavano di essere stati informati ed manifestavano il loro consenso alla conservazione di una copia del loro documento d’identità a fini identificativi, la casella di spunta relativa a tale dichiarazione clausola veniva in realtà già selezionata dagli agenti di vendita dell’Orange România prima che i clienti procedessero alla sottoscrizione del contratto.
Orbene, dal momento che, secondo tali indicazioni, non sembra che i clienti interessati avessero essi stessi selezionato la casella relativa a detta clausola, il mero fatto che tale casella sia stata spuntata non è stato ritenuto idoneo dalla Corte di Giustizia a dimostrare una manifestazione positiva del consenso alla raccolta e conservazione di una copia dei documenti di identità dei clienti. In particolare, il carattere libero di tale consenso è messo in discussione dalla circostanza che, nell’ipotesi di un suo rifiuto, l’Orange România – discostandosi dalla procedura normale che conduce alla conclusione del contratto – esigeva che il cliente interessato dichiarasse per iscritto di non acconsentire né alla raccolta né alla conservazione della copia del suo documento di identità; tale requisito supplementare, infatti, incide indebitamente sulla libera scelta di opporsi alla raccolta ed alla conservazione del documento.
