L’Avvocato Generale D. Spielmann ha reso pubbliche le sue conclusioni il 17 settembre 2026 nella causa C-317/25, riguardante la validità del consenso prestato da un’impresa affinché i suoi partner possano utilizzare i dati personali degli interessati per finalità di marketing diretto. L’interesse principale del caso è stato l’interpretazione dell’articolo 4, punto 11, del Regolamento (UE) 2016/679 (GDPR), in combinato disposto con gli articoli 13 e 14 del medesimo regolamento e con l’articolo 13 della direttiva 2002/58/CE. L’obiettivo era chiarire se il consenso dato a un primo operatore del trattamento possa essere considerato valido anche quando i destinatari dei dati (i “partner”) non erano identificati all’epoca della raccolta.
Consenso informato e specifico
L’Avvocato Generale ha sottolineato che il consenso deve essere espresso in modo “libero, specifico, informato e inequivocabile”, come previsto dall’articolo 4, punto 11, del GDPR. Questo significa che l’interessato deve conoscere chi è il titolare del trattamento e le finalità del trattamento. Nel caso in esame, i dati erano stati raccolti da due fornitori di accesso a Internet, i quali avevano invitato i loro abbonati a selezionare una casella per autorizzare l’utilizzo dei dati per finalità di commercializzazione diretta da parte dei loro “partner”. Tuttavia, tali partner non erano stati identificati nominativamente.
Secondo l’Avvocato Generale, il consenso è considerato informato nel momento in cui l’interessato ha ottenuto tutte le informazioni relative al trattamento dei dati in forma comprensibile e accessibile. Tra queste informazioni si trovano il tipo di dati, la durata e le modalità del trattamento, le finalità perseguite e l’identità del titolare del trattamento. La mancanza di queste informazioni rende il consenso non valido, con conseguenze che possono portare all’illiceità del trattamento, come previsto dall’art. 5 par. 1 del GDPR.
La necessità di un ulteriore consenso
L’Avvocato Generale ha ritenuto che, nel caso specifico, fosse necessario un ulteriore e previo consenso da parte dell’interessato al diverso titolare del trattamento di commercializzazione (i “partner”), rispetto a quello che aveva raccolto il consenso originario (i fornitori). Questo perché, sebbene il consenso iniziale fosse stato espresso in modo informato, non era stato chiaro chi fosse effettivamente il destinatario dei dati. L’art. 13 par. 1 della direttiva 2002/58, che costituisce una lex specialis del GDPR, richiede che il consenso sia espresso in modo specifico e che l’interessato sia informato su tutti i dettagli del trattamento. Il trattamento dei dati da parte di soggetti terzi richiede un ulteriore consenso specifico e informato. L’Avvocato Generale ha chiarito che il consenso non può essere considerato valido se non è stato espresso in modo specifico e informato, anche quando i dati sono stati raccolti in modo indiretto. Questo orientamento potrebbe influenzare le pratiche di marketing diretto e le politiche di privacy delle aziende che operano nel settore.
La decisione dell’Avvocato Generale ha implicato significative conseguenze per le aziende che utilizzano dati personali per attività di marketing diretto. Secondo le sue conclusioni, il trattamento dei dati da parte di soggetti terzi richiede un ulteriore consenso, che deve essere espresso in modo specifico e informato. Questo significa che le aziende non possono più utilizzare il consenso iniziale per autorizzare l’utilizzo dei dati da parte di partner non identificati. L’obiettivo è tutelare la privacy degli interessati e garantire che il trattamento dei dati rispetti i principi di trasparenza e correttezza previsti dall’art. 5 par. 1 lett. a) del GDPR.
La tutela della privacy degli interessati è prioritaria nel trattamento dei dati personali. La sentenza dell’Avvocato Generale rappresenta un ulteriore passo verso la protezione dei dati personali e la garanzia del diritto all’informazione degli interessati. La sua interpretazione del GDPR ha chiarito che il consenso non può essere considerato valido se non è stato espresso in modo specifico e informato, anche quando i dati sono stati raccolti in modo indiretto.
