Una società che offre un servizio di comparazione di preventivi è stata multata dal Garante per la Protezione dei Dati Personali per aver trattato dati personali a scopo di marketing senza il consenso degli interessati.
La società, in fase di fornitura del servizio, aveva reso un’informativa ai sensi dell’art. 13 del Codice Privacy, ma il consenso era obbligatorio e indistinto rispetto alla pluralità di finalità del trattamento indicate nell’informativa.
Inoltre, la società aveva inviato email anche ai clienti che si erano registrati sul sito solo per provarne i servizi, senza stipulare alcun contratto di vendita di beni o servizi.
La Corte di Cassazione ha confermato la decisione del Garante, confermata anche dal Giudice ordinario del Tribunale, ritenendo che la società non avesse raccolto un valido consenso degli interessati per il trattamento dei loro dati personali a scopo di marketing.
La Corte ha inoltre osservato che la società non aveva fornito agli interessati la possibilità di opporsi gratuitamente e in maniera agevole al trattamento dei loro dati personali.
La decisione della Cassazione rappresenta un importante precedente in materia di protezione dei dati personali, in quanto chiarisce che:
- il consenso degli interessati deve essere prestato liberamente e specificamente in riferimento a un trattamento chiaramente individuato;
- il consenso degli interessati al trattamento dei loro dati personali per scopi di marketing può essere prestato anche in forma tacita, ma solo se l’interessato ha avuto la possibilità di esprimere chiaramente e inequivocabilmente il proprio consenso;
- il titolare del trattamento deve fornire agli interessati la possibilità di opporsi gratuitamente e in maniera agevole al trattamento dei loro dati personali.
La decisione degli Ermellini rappresenta un importante passo avanti nella tutela dei diritti degli interessati in materia di protezione dei dati personali; inoltre, nel caso di specie, le coordinate di posta elettronica fornite dall’interessato non si inserivano in un contesto di vendita del servizio ma riguardavano clienti che avevano effettuato solamente la prova del servizio, senza concludere alcun contratto con la società.
Ne è conseguito che, correttamente, il Tribunale ha ravvisato un obbligo di acquisizione del consenso al trattamento dei dati per finalità commerciali ogniqualvolta si utilizzi un sistema automatizzato per l’invio delle comunicazioni di marketing.
La deroga prevista dal comma 4 dell’art. 130 del Codice Privacy, nel prevedere che non sia necessario il consenso al trattamento dei dati se il titolare del trattamento utilizza le coordinate di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio, non può essere quindi applicata ai clienti che avevano effettuato la registrazione per provare il servizio, senza concludere alcun contratto.
Al contrario, si applica solo ai “clienti paganti”, ovvero i clienti che abbiano concluso un contratto di vendita e, in tale contesto abbiano autorizzato la società all’utilizzo delle coordinate di posta elettronica ai fini della vendita diretta mentre, come detto, non rientrano in tale regime derogatorio i “clienti non paganti”, ovvero coloro che si siano solamente registrati o abbiano effettuato una prova del servizio.
L’interesse al servizio manifestato registrandosi sul sito non estende la deroga prevista dall’art. 130 del D. Lgs. n. 196 del 2003, che rimane circoscritta solamente nell’ipotesi in cui vi sia stato un rapporto contrattuale di vendita del bene o del servizio e, in tale occasione, sia stato espresso il consenso all’invio di mailing marketing.
Di conseguenza, in assenza del consenso regolarmente acquisito “a monte”, il fatto che le comunicazioni inviate contenessero “a valle” l’informazione relativa alla possibilità di disattivazione del servizio risulta irrilevante.