L’Avvocato Generale della Corte di Giustizia UE M. Szpunar, ha presentato le proprie conclusioni, il 27 marzo 2025, nella causa C‑654/23, sulla questione, in ambito privacy, dell’obbligatorietà o meno del consenso, per l’uso, ai fini di commercializzazione diretta di altri beni e servizi, degli indirizzi e-mail ottenuti in precedenza, in occasione di una vendita di un altro prodotto o servizio, da parte della stessa azienda.
In altri termine, se sia sufficiente l’applicazione dell’art. 13, par. 2, della Direttiva ePrivacy (2002/58/CE), o se sia altresì necessario applicare le disposizioni del GDPR.
Si ricorda, preliminarmente, che l‘art. 13 della Direttiva 2002/58 (“Comunicazioni indesiderate“) dispone che l’uso di sistemi automatizzati come la posta elettronica, a fini di commercializzazione diretta, è consentito soltanto nei confronti di coloro che abbiano espresso preliminarmente il loro consenso.
Tuttavia, in base al secondo comma, quando si ottengono dai propri clienti le coordinate e-mail nel contesto della vendita di un prodotto o servizio, a tutela della privacy degli utenti, si può utilizzare tali coordinate a scopi di commercializzazione diretta di propri analoghi prodotti o servizi, a condizione che ai clienti sia offerta in modo chiaro e distinto, al momento della raccolta delle coordinate elettroniche e ad ogni messaggio, la possibilità di opporsi, gratuitamente e in maniera agevole, all’uso di tali coordinate elettroniche qualora il cliente non abbia rifiutato inizialmente tale uso.
L’art. 95 del GDPR, d’altro canto, sul rapporto con la direttiva 2002/58/CE, stabilisce che il GDPR “non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell’Unione, per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla direttiva 2002/58/CE”
Sull’obbligo di acquisizione del consenso ai sensi della Direttiva ePrivacy
Con riferimento al caso di specie, con la prima questione pregiudiziale il Giudice del rinvio si chiedeva se fosse qualificabile come ottenimento “nel contesto della vendita di un prodotto o servizio“, ai fini della “commercializzazione diretta di analoghi prodotti o servizi“, ai sensi della Direttiva e Privacy, un indirizzo e-mail ottenuto al momento della creazione, da parte del cliente, di un account online che gli conferiva, più nel dettaglio, la facoltà:
-
- di accedere, a titolo gratuito, a un numero di articoli della pubblicazione di cui trattasi e di ricevere, via e-mail, un’informazione quotidiana contenente una sintesi delle novità legislative trattate in articoli all’interno della pubblicazione
- di accedere, a pagamento, ad articoli e ad analisi aggiuntivi e/o più dettagliati della pubblicazione
Al fine di stabilire se una comunicazione abbia come finalità la commercializzazione diretta, la Corte ha dichiarato che occorre verificare:
- se una tale comunicazione persegua uno scopo commerciale
- se si rivolga direttamente e individualmente ad un consumatore.
Una comunicazione che persegue uno scopo commerciale, in particolare, è una comunicazione che ha come oggetto o è collegata ad acquistare e vendere, al fine di generare entrate o profitti.
Per l’Avvocato generale, emerge chiaramente nel caso di specie che il fine delle e-mail non era quello di fornire, a titolo gratuito, un resoconto delle modifiche legislative intervenute in Romania, ma, tramite un c.d. “metered” paywall, di indurre gli utenti ad acquistare in ultima istanza un abbonamento completo, consentendo loro di accedere gratuitamente a un numero limitato di articoli prima di richiedere il pagamento.
Pertanto, inducendo gli utenti all’acquisto di un abbonamento completo, si persegue lo scopo commerciale diretto a generare entrate nell’ambito del modello di “metered” paywall.
Affinché possa costituire commercializzazione diretta, tale comunicazione deve inoltre rivolgersi direttamente e individualmente ad un consumatore, e per la Corte tale condizione è soddisfatta quando la comunicazione compare direttamente nella casella di posta elettronica privata dell’utente interessato: pertanto, secondo la giurisprudenza della Corte, una comunicazione quale quella in discussione nel procedimento principale costituisce commercializzazione diretta.
Per verificare se gli indirizzi e-mail siano stati ottenuti “nel contesto della vendita di un prodotto o servizio” ai sensi dell’art.13 citato, ove il consenso preliminare non sarebbe necessario, l’Avvocato generale ricorda che la Corte ha dichiarato che la remunerazione per un servizio non deve essere necessariamente versata dai soggetti che ne fruiscono, come nel caso in cui la prestazione effettuata a titolo gratuito sia fornita da un prestatore a fini pubblicitari, dato che il costo di tale attività è così integrato nel prezzo di vendita di tali beni o di tali servizi.
Per l’Avvocato, ciò è precisamente quanto avviene nel procedimento principale: il servizio fornito “a titolo gratuito” era destinato a promuovere l’acquisto del piano di abbonamento completo, perseguendo pertanto uno scopo pubblicitario; il costo della fornitura di siffatto servizio è incorporato nel prezzo del servizio principale, il quale, nel caso di specie, è l’abbonamento completo.
Tale forma indiretta di remunerazione soddisfa pertanto il requisito del pagamento ai sensi della definizione di “vendita” fornita dalla Corte.
In conclusione, per l’Avvocato Generale, “l’art. 13, par. 2, della Direttiva 2002/58 deve essere interpretato nel senso che l’indirizzo e-mail di un utente, ottenuto al momento della creazione, da parte di quest’ultimo, di un account online che gli conferisce la facoltà i) di accedere, a titolo gratuito, a un numero di articoli della pubblicazione di cui trattasi, ii) di ricevere, via e-mail, un’informazione quotidiana contenente una sintesi delle novità legislative trattate in articoli all’interno della pubblicazione e degli hyperlink ai rispettivi articoli e iii) di accedere, a pagamento, ad articoli e ad analisi aggiuntivi e/o più dettagliati della pubblicazione, è ottenuto “nel contesto della vendita di un prodotto o servizio“. La trasmissione dell’informazione quotidiana descritta al punto ii) costituisce «commercializzazione diretta» di «analoghi prodotti o servizi», ai sensi della medesima disposizione”.
Privacy dell’utente e applicabilità del GDPR al riutilizzo dell’e-mail
Con la seconda questione, il giudice del rinvio chiedeva di stabilire quali, fra le condizioni previste dall’art. 6, par. 1, lett. da a) a f) del GDPR, fossero applicabili, a tutela della privacy dell’utente, nel caso in cui il titolare del trattamento utilizzi l’indirizzo e-mail di un utente per trasmettere un’informazione quotidiana, ai sensi dell’art. 13, par. 2, della Direttiva 2002/58.
L’art. 95 del GDPR specifica che tale regolamento non impone obblighi supplementari in relazione al trattamento, nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell’UE, per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo, fissati dalla direttiva 2002/58.
Il rapporto tra tale direttiva e il GDPR è pertanto regolato dal principio lex specialis derogat legi generali: ogni qualvolta una disposizione specifica della direttiva 2002/58 comporta obblighi che abbiano il medesimo obiettivo delle corrispondenti disposizioni del GDPR, si deve applicare la disposizione della Direttiva 2002/58.
Per l’Avvocato Generale, con riguardo alla commercializzazione diretta nell’ambito della vendita di un prodotto o di un servizio a mezzo e-mail acquisite in precedenza, l’art. 13 menzionato disciplina in maniera esaustiva le condizioni e le finalità del trattamento a tutela della privacy dell’utente, nonché i diritti dell’interessato, e impone “obblighi specifici” al titolare del trattamento, ai sensi dell’art.95 del GDPR: in particolare, tale articolo in maniera esaustiva la questione del consenso.
Pertanto, la liceità del trattamento può essere stabilita sulla base dell’art. 13 in questione, e il ricorso al GDPR non è possibile né necessario.
Così propone dunque alla Corte di rispondere alla seconda questione: “l’articolo 13, paragrafo 2, della direttiva 2002/58, in combinato disposto con l’articolo 95 del RGPD, deve essere interpretato nel senso che, qualora il titolare del trattamento utilizzi l’indirizzo e-mail di un utente per trasmettere un’informazione quotidiana, ai sensi dell’articolo 13, paragrafo 2, della direttiva 2002/58, e il trattamento dei dati personali sia stato ritenuto lecito sulla base di tale disposizione, l’articolo 6 del RGPD non è applicabile“.