La Corte di Giustizia in data odierna si è pronunciata in materia di consenso al trattamento dati costituito dal deposito di file c.d. cookie nel pc dell’utente (sentenza 1 ottobre 2019, C-673/17, Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV contro Planet49 GmbH).
In particolare ha detto che non è conforme alla disciplina europea l’impostazione, secondo cui l’utente dà il consenso deselezionando una casella di assenso già preimpostata come selezionata (una sorta di opt out), anzichè selezionando una casella bianca (opt in).
Il requisito della «manifestazione» della volontà della persona interessata, infatti, evoca chiaramente un comportamento attivo e non passivo: e il consenso espresso mediante una casella di spunta preselezionata non implica un comportamento attivo da parte dell’utente di un sito Internet (§ 52).
Secondo la Corte ciò è ancora più esatto con il reg. 679 del 2016 c.d. GDPR, visto che qui per «consenso dell’interessato» si intende <<qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento>> (art .4 n. 11 reg.) (§§ 60-62 sentenza).
Tuttavia secondo la Corte ciò era desumibile già dalla dir. 46 del 1995, laddove chiedeva un consenso manifestato in maniera inequivocabile (art. 7 lett. a). Anzi era desumibile già solo dalla necessità di manifestazione di un consenso (art. 2 lett. h), tale non potendo essere un atteggiamento passivo (§§ 51-55 sentenza).
La Corte invoca poi a favore di questa opinione pure l’art. 5 § 3 della dir. 2002/58, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche). Secondo tale norma, l’archiviazione di informazioni o l’accesso ad informazioni già archiviate è lecito solo <<a condizione che l’abbonato o l’utente in questione abbia espresso preliminarmente il proprio consenso>> (§ 56 sentenza)
Con altra questione pregiudiziale, poi, il giudice del rinvio chiedeva se l’articolo 5, paragrafo 3, della direttiva 2002/58 dovesse essere interpretato nel senso che tra le informazioni da comunicare all’utente di un sito Internet rientrano anche il periodo di attività dei cookie, nonché la possibilità o meno per i terzi di avere accesso a tali cookie.
La risposta è stata positiva su entrambi i punti: il fornitore deve comunicare sia la durata della permanenza dei file nel pc dell’utente (non solo della loro attività direi, non potendosi ammettere un cookie presente ma silente, senza consenso), sia la possibilità di accesso di terzi.
Ciò è del resto ineludibile, in base al disposto dell’articolo 10, lettera c), della direttiva 95/46, nonché all’articolo 13, paragrafo 1, lettera e), del reg. 2016/679.
Breve nota di A. Reinalter-S- Vale, Cookie e consenso dell’utente, in Giur. it., 2020-1, 79 ss