Proximus NV v Gegevensbeschermingsautoriteit.

• Jurisdiction: European Union
• Date: 27 October 2022
• Court: Court of Justice (European Union)

Edizione provvisoria

SENTENZA DELLA CORTE (Quarta Sezione)

27 ottobre 2022 (*)

«Rinvio pregiudiziale – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Direttiva 2002/58/CE – Articolo 12 – Elenchi telefonici pubblici e servizi di consultazione degli elenchi telefonici – Consenso dell’abbonato – Obblighi del fornitore degli elenchi telefonici e dei servizi di consultazione degli elenchi telefonici – Regolamento (UE) 2016/679 – Articolo 17 – Diritto alla cancellazione (“diritto all’oblio”) – Articolo 5, paragrafo 2 – Articolo 24 – Obblighi di informazione e responsabilità del titolare del trattamento»

Nella causa C‑129/21,

avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dallo hof van beroep te Brussel (Corte d’appello di Bruxelles, Belgio), con decisione del 24 febbraio 2021, pervenuta in cancelleria il 2 marzo 2021, nel procedimento

Proximus NV

contro

Gegevensbeschermingsautoriteit,

LA CORTE (Quarta Sezione),

composta da C. Lycourgos, presidente di sezione, L.S. Rossi (relatrice), J.‑C. Bonichot, S. Rodin e O. Spineanu‑Matei, giudici,

avvocato generale: A.M. Collins,

cancelliere: M. Ferreira, amministratrice principale

vista la fase scritta del procedimento e in seguito all’udienza del 9 febbraio 2022,

considerate le osservazioni presentate:

– per la Proximus NV, da P. Craddock e T. de Haan, avocats, nonché da E. Van Bogget, advocaat;

– per la Gegevensbeschermingsautoriteit, da C. Buggenhoudt, E. Cloots e J. Roets, advocaten;

– per il governo italiano, da G. Palmieri, in qualità di agente, assistita da E. De Bonis, avvocato dello Stato;

– per il governo lettone, da E. Bārdiņš, J. Davidoviča e K. Pommere, in qualità di agenti;

– per il governo portoghese, da P. Barros da Costa, L. Inez Fernandes, M.J. Ramos e C. Vieira Guerra, in qualità di agenti;

– per il governo rumeno, da E. Gane e L. Liţu, in qualità di agenti;

– per la Commissione europea, da S.L. Kalėda, H. Kranenborg e P.‑J. Loewenthal, in qualità di agenti,

sentite le conclusioni dell’avvocato generale, presentate all’udienza del 28 aprile 2022,

ha pronunciato la seguente

Sentenza

1 La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 12, paragrafo 2, in combinato disposto con l’articolo 2, secondo comma, lettera f), della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU 2002, L 201, pag. 37), come modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009 (GU 2009, L 337, pag. 11) (in prosieguo: la «direttiva 2002/58»), nonché dell’articolo 5, paragrafo 2, e degli articoli 17, 24 e 95 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, in prosieguo: il «RGDP»).

2 Tale domanda è stata presentata nell’ambito di una controversia tra la Proximus NV, società di diritto pubblico belga, e la Gegevensbeschermingsautoriteit (Autorità per la protezione dei dati, Belgio) (in prosieguo: l’«APD»), in merito alla decisione con la quale la Geschillenkamer van de Gegevensbeschermingsautoriteit (sezione del contenzioso dell’APD; in prosieguo: la «sezione del contenzioso») ha imposto alla Proximus talune misure correttive e irrogato un’ammenda pari a EUR 20 000 per violazione di varie disposizioni del RGPD.

Contesto normativo

Diritto dell’Unione

Direttiva 95/46/CE

3 L’articolo 2, lettera h), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31) così dispone:

«Ai fini della presente direttiva si intende per:

(...)

h) “consenso della persona interessata”: qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento».

Direttiva 2002/58

4 I considerando 10, 17, 38 e 39 della direttiva 2002/58 sono così formulati:

«(10) Nel settore delle comunicazioni elettroniche trova applicazione la direttiva 95/46/CE, in particolare per quanto riguarda tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali non specificamente disciplinati dalle disposizioni della presente direttiva, compresi gli obblighi del responsabile e i diritti delle persone fisiche. (...)

(...)

(17) Ai fini della presente direttiva il consenso dell’utente o dell’abbonato, senza considerare se quest’ultimo sia una persona fisica o giuridica, dovrebbe avere lo stesso significato del consenso della persona interessata come definito ed ulteriormente determinato nella direttiva 95/46/CE. Il consenso può essere fornito secondo qualsiasi modalità appropriata che consenta all’utente di esprimere liberamente e in conoscenza di causa i suoi desideri specifici, compresa la selezione di un’apposita casella nel caso di un sito Internet.

(...)

(38) Gli elenchi degli abbonati ai servizi di comunicazione elettronica sono pubblici ed ampiamente distribuiti. Il rispetto della vita privata delle persone fisiche e i legittimi interessi delle persone giuridiche postulano, per gli abbonati, il diritto di determinare se i loro dati personali possano essere pubblicati in un elenco e, in caso affermativo, quali. È opportuno che i fornitori di elenchi pubblici informino gli abbonati che vi figureranno degli scopi dell’elenco stesso e di ogni specifico impiego che possa essere fatto delle versioni elettroniche degli elenchi pubblici, in particolare mediante le funzioni di ricerca incorporate nel software, come ad esempio le funzioni di ricerca inversa che consentono agli utenti dell’elenco di risalire al nome e all’indirizzo dell’abbonato in base al solo numero telefonico.

(39) L’obbligo di informare gli abbonati sugli scopi di elenchi pubblici in cui i loro dati personali devono essere inclusi dovrebbe essere imposto alla parte che raccoglie i dati per tale inclusione. Se i dati possono essere trasmessi a uno o più terzi, l’abbonato dovrebbe essere informato su questa possibilità e sul ricevente o sulle categorie di possibili riceventi. Le trasmissioni dovrebbero essere soggette alla condizione che i dati non possono essere usati per scopi diversi da quelli per cui sono stati raccolti. Se la parte che raccoglie i dati dall’abbonato o i terzi a cui i dati sono stati trasmessi desiderano usarli per uno scopo ulteriore, la parte che ha raccolto i dati in origine o il terzo a cui i dati sono stati trasmessi deve ottenere nuovamente il consenso dell’abbonato».

5 L’articolo 1 della suddetta direttiva così prevede:

«1. La presente direttiva prevede l’armonizzazione delle disposizioni nazionali necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno della Comunità.

2. Ai fini di cui al paragrafo 1, le disposizioni della presente direttiva precisano e integrano la direttiva 95/46/CE. Esse prevedono inoltre la tutela dei legittimi interessi degli abbonati che sono persone giuridiche.

(…)».

6 Ai sensi dell’articolo 2, secondo comma, lettera f), di detta direttiva, intitolato «Definizioni»:

«Si applicano inoltre le seguenti definizioni:

(…)

f) “consenso” dell’utente o dell’abbonato: corrisponde al consenso della persona interessata di cui alla direttiva 95/46/CE».

7 L’articolo 12 della stessa direttiva, intitolato «Elenchi di abbonati», ha il seguente tenore:

«1. Gli Stati membri assicurano che gli abbonati siano informati, gratuitamente e prima di essere inseriti nell’elenco, in merito agli scopi degli elenchi cartacei o elettronici a disposizione del pubblico o ottenibili attraverso i servizi che forniscono informazioni sugli elenchi, nei quali possono essere inclusi i loro dati personali, nonché in merito ad ogni ulteriore possibilità di utilizzo basata su funzioni di ricerca incorporate nelle versioni elettroniche degli elenchi stessi.

2. Gli Stati membri assicurano che gli abbonati abbiano la possibilità di decidere se i loro dati personali – e, nell’affermativa, quali – debbano essere riportati in un elenco pubblico, sempreché tali dati siano pertinenti per gli scopi dell’elenco dichiarati dal suo fornitore. Gli Stati membri provvedono affinché gli abbonati abbiano le possibilità di verificare, rettificare o ritirare tali dati. Il fatto che i dati non siano riportati in un elenco pubblico di abbonati la verifica, la correzione o il ritiro dei dati non devono comportare oneri.

3. Gli Stati membri possono disporre che sia chiesto il consenso ulteriore degli abbonati per tutti gli scopi di un elenco pubblico diversi dalla ricerca di dati su persone sulla base del loro nome e, ove necessario, di un numero minimo di altri elementi di identificazione.

(…)».

RGPD

8 I considerando 42, 66 e 173 del RGPD così recitano:

«(42) Per i trattamenti basati sul consenso dell’interessato, il titolare del trattamento dovrebbe essere in grado di dimostrare che l’interessato ha acconsentito al trattamento. In particolare, nel contesto di una dichiarazione scritta relativa a un’altra questione dovrebbero esistere garanzie che assicurino che l’interessato sia consapevole del fatto di...