CONCLUSIONI DELL’AVVOCATO GENERALE
ANTHONY MICHAEL COLLINS
presentate il 28 aprile 2022 (1)
Causa C‑129/21
Proximus NV
(Elenchi telefonici elettronici pubblici)
contro
Gegevensbeschermingsautoriteit
[domanda di pronuncia pregiudiziale proposta dallo hof van beroep te Brussel (Corte d’appello di Bruxelles, Belgio)]
«Rinvio pregiudiziale – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Direttiva 2002/58/CE – Articolo 12 – Elenchi e servizi d’informazione telefonici – Consenso dell’interessato – Regolamento (UE) 2016/679 – Definizione di consenso – Articolo 17 – Diritto alla cancellazione (“diritto all’oblio”) – Articolo 5, paragrafo 2, articolo 17, paragrafo 2, articolo 19 e articolo 24 – Obblighi di informazione e responsabilità del titolare del trattamento»
I. Introduzione
1. La domanda di pronuncia pregiudiziale in esame, proposta dallo hof van beroep te Brussel (Corte d’appello di Bruxelles, Belgio), trae origine dalla richiesta di un abbonato a servizi di telecomunicazione di escludere i suoi dati di contatto da elenchi telefonici elettronici e servizi d’informazione telefonici pubblici. Essa solleva importanti questioni per quanto concerne l’interpretazione del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (2), della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (3) e del rapporto tra questi due atti.
2. Il RGPD impone a ogni titolare del trattamento l’obbligo generale di ottenere il consenso dell’interessato al trattamento dei suoi dati. La direttiva 2002/58 modifica tale requisito per quanto concerne il trattamento dei dati da parte dei fornitori di elenchi telefonici elettronici e di servizi d’informazione telefonici nel senso che un’unica manifestazione di consenso da parte di un abbonato è sufficiente a permettere il trattamento dei suoi dati per quella stessa finalità. Pertanto, una volta che un abbonato abbia acconsentito all’inclusione dei suoi dati di contatto in un elenco telefonico, altri fornitori di elenchi possono fondarsi su tale consenso per includere detti dati nei loro elenchi. Che cosa accade quando un abbonato desidera che i suoi dati di contatto siano rimossi da tutti questi elenchi? Si pongono almeno due questioni. La prima è se un abbonato debba rivolgere una richiesta all’operatore di telecomunicazioni con il quale ha concluso un contratto, al fornitore o ai fornitori di elenchi oppure a tutti questi soggetti. La seconda è se un fornitore di elenchi sia obbligato a trasmettere la richiesta di rimozione dei dati di contatto a terzi, quali l’operatore di telecomunicazioni dell’abbonato, altri fornitori di elenchi e fornitori di motori di ricerca.
II. Fatti
3. La Proximus fornisce servizi di telecomunicazione. Essa include i dati di contatto dei propri abbonati, nonché quelli che riceve da altri operatori di telecomunicazioni, in due elenchi elettronici belgi, ossia www.1207.be e www.1307.be, nonché in due servizi d’informazione telefonici da essa forniti, ossia 1207 e 1307. Essa trasmette tali dati a un altro fornitore di elenchi.
4. La Proximus precisa che le sue banche dati e quelle di terzi distinguono tra gli abbonati i cui dati di contatto devono essere inclusi negli elenchi e quelli che ne devono essere esclusi. Qualora i dati di contatto debbano essere inclusi, il parametro indicato nel registro di un abbonato è «NNNNN». Qualora i dati di contatto debbano essere esclusi, il parametro indicato è «XXXXX».
5. Il reclamante è abbonato a un servizio telefonico fornito dalla Telenet, un operatore di telecomunicazioni presente sul mercato in Belgio. La Telenet non fornisce elenchi telefonici. Essa trasmette i dati di contatto dei suoi abbonati, tra l’altro, alla Proximus.
6. Il 13 gennaio 2019 il reclamante, utilizzando il modulo di contatto disponibile sul sito Internet 1207.be, ha rivolto alla Proximus la seguente richiesta: «Per cortesia, non includete questo numero nel “Witte Gids (elenco telefonico)” su 1207.be (...)».
7. A seguito di tale richiesta, il 28 gennaio 2019 la Proximus ha modificato il relativo parametro nel registro del reclamante da «NNNNN» a «XXXXX». Lo stesso giorno, un dipendente della Proximus ha risposto al reclamante nei seguenti termini: «Il numero [x] non figura attualmente nell’edizione del “Gids (elenco)”. Esso non è neppure disponibile nei servizi d’informazione telefonici (1207) e sul sito web (1207.be). Potrà consultare l’ultimo aggiornamento di tutti i dati pubblicati sul nostro sito web www.1207.be».
8. Il 31 gennaio 2019 la Proximus ha ricevuto dalla Telenet un aggiornamento di routine dei dati degli abbonati. Detto aggiornamento conteneva nuovi dati di contatto del reclamante. Esso mostrava altresì che i dati di contatto del reclamante dovevano essere inclusi negli elenchi («NNNNN»). La Proximus ha processato automaticamente tale aggiornamento. Di conseguenza, i dati di contatto del reclamante sono divenuti di dominio pubblico.
9. Il 14 agosto 2019, essendosi reso conto che il suo numero di telefono figurava negli elenchi telefonici elettronici www.1207.be e www.1307.be, nonché in una serie di altri elenchi telefonici elettronici, il reclamante ha contattato la Proximus, utilizzando il modulo di contatto disponibile sul sito www.1207.be, chiedendole di «non riportare» il suo numero di telefono «sul suo o sui suoi siti http://www.1207.be».
10. Lo stesso giorno, un dipendente della Proximus ha risposto quanto segue: «Conformemente alla sua richiesta, abbiamo cancellato la registrazione che la riguarda, affinché i suoi dati (numero di telefono, nome, indirizzo) non siano più utilizzati negli elenchi telefonici o nei servizi d’informazione telefonici. Entro pochi giorni i suoi dati non saranno più disponibili su www.1207.be – www.1307.be e nei servizi d’informazione (1207-1307). Inoltre, contatteremo Google per cancellare i relativi link al nostro sito web. In ottemperanza alle disposizioni di legge, i suoi dati sono stati trasmessi anche ad altri elenchi telefonici o servizi d’informazione telefonici che hanno richiesto alla [Proximus] di fornire loro i dati degli abbonati, in particolare www.wittegids.be, www.infobel.com, www.de1212.be e www.opendi.be. Attraverso gli aggiornamenti mensili essi saranno informati altresì della sua richiesta di cessare l’utilizzo dei suoi dati».
11. Allo stesso tempo, il reclamante ha presentato un reclamo alla Gegevensbeschermingsautoriteit (Autorità per la protezione dei dati, Belgio; in prosieguo: l’«Autorità per la protezione dei dati»). Tale reclamo era così formulato: «nonostante la mia richiesta scritta ed esplicita (...) di non includere il mio (nuovo) numero di telefono (...) e i miei dati nel Witte Gids, in 1207.be, (…) oggi, a seguito di una telefonata da parte di un’impresa che non possiede il mio numero di telefono [ho notato] che esso figura comunque in www.1207.be, www.1307.be, www.wittegids.be, www.infobel.be, www.de1212.be e, molto probabilmente, anche nei relativi servizi d’informazione telefonici 1207, 1307 e nelle versioni cartacee del Witte Gids(en) e di www.opendi.be».
12. Il 27 agosto 2019 il servizio di trattamento preliminare dell’Autorità per la protezione dei dati ha dichiarato il reclamo ricevibile e lo ha trasmesso alla Geschillenkamer van de Gegevensbeschermingsautoriteit (Sezione Contenzioso dell’Autorità per la protezione dei dati, Belgio; in prosieguo: la «Sezione Contenzioso dell’Autorità per la protezione dei dati»).
III. Disposizioni normative applicabili
A. Diritto dell’Unione europea
1. Carta dei diritti fondamentali dell’Unione europea
13. I primi due paragrafi dell’articolo 8 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»), rubricato «Protezione dei dati di carattere personale», prevedono quanto segue:
«1. Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.
2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica».
2. Regolamento generale sulla protezione dei dati
14. La nozione di consenso è fondamentale ai fini del funzionamento del RGPD. Ai sensi dell’articolo 4, punto 11, per consenso si intende qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.
15. L’articolo 5, paragrafo 1, del RGPD, rubricato «Principi applicabili al trattamento di dati personali», prevede, nella parte pertinente, quanto segue:
«I dati personali sono:
a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”)».
16. L’articolo 5, paragrafo 2, del RGPD così dispone:
«Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)».
17. L’articolo 6 del RGPD, rubricato «Liceità del trattamento», prevede quanto segue:
«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a) l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
(…)».
18. Nei suoi paragrafi pertinenti, l’articolo 7 del RGPD, rubricato «Condizioni per il consenso», così dispone:
«1. Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali.
(…)
3. L’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca. Prima di prestare il proprio consenso, l’interessato è informato di ciò. Il consenso è revocato con la stessa facilità con cui è accordato.
(…)».
19. Per quanto qui interessa, l’articolo 17 del RGPD, rubricato «Diritto alla cancellazione (“diritto all’oblio”)», prevede quanto segue:
«1. L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
(…)
b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
(…)
2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
(…)».
20. L’articolo 19 del RGPD, rubricato «Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento», così dispone:
«Il titolare del trattamento comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate a norma dell’articolo 16, dell’articolo 17, paragrafo 1, e dell’articolo 18, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. Il titolare del trattamento comunica all’interessato tali destinatari qualora l’interessato lo richieda».
21. L’articolo 24, paragrafo 1, del RGPD, rubricato «Responsabilità del titolare del trattamento», prevede quanto segue:
«Tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario».
22. L’articolo 95 del RGPD, rubricato «Rapporto con la direttiva 2002/58/CE», così dispone:
«Il presente regolamento non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell’Unione, per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla [direttiva 2002/58]».
3. Direttiva 2002/58
23. Il considerando 17 della direttiva 2002/58 così recita:
«Ai fini della presente direttiva il consenso dell’utente o dell’abbonato, senza considerare se quest’ultimo sia una persona fisica o giuridica, dovrebbe avere lo stesso significato del consenso della persona interessata come definito ed ulteriormente determinato nella [direttiva 95/46]. Il consenso può essere fornito secondo qualsiasi modalità appropriata che consenta all’utente di esprimere liberamente e in conoscenza di causa i suoi desideri specifici, compresa la selezione di un’apposita casella nel caso di un sito Internet».
24. Salvo diversa disposizione, la direttiva 2002/58 applica le definizioni di cui alla direttiva 95/46 (4) e alla direttiva 2002/21/CE del Parlamento europeo e del Consiglio, del 7 marzo 2002, che istituisce un quadro normativo comune per le reti e i servizi di comunicazione elettronica (direttiva quadro) (5). L’articolo 2, lettera f), della direttiva 2002/58 definisce il «consenso» dell’utente o dell’abbonato mediante rinvio al consenso della persona interessata di cui alla direttiva 95/46. Ne consegue che, ai fini della direttiva 2002/58, la definizione di consenso corrisponde a quella contenuta nell’articolo 4, punto 11, del RGPD, il cui testo è riprodotto al paragrafo 14 delle presenti conclusioni.
25. L’articolo 12, paragrafi 2 e 3, della direttiva 2002/58 prevede quanto segue:
«2. Gli Stati membri assicurano che gli abbonati abbiano la possibilità di decidere se i loro dati personali – e, nell’affermativa, quali – debbano essere riportati in un elenco pubblico, sempreché tali dati siano pertinenti per gli scopi dell’elenco dichiarati dal suo fornitore. Gli Stati membri provvedono affinché gli abbonati abbiano le possibilità di verificare, rettificare o ritirare tali dati. Il fatto che i dati non siano riportati in un elenco pubblico di abbonati la verifica, la correzione o il ritiro dei dati non devono comportare oneri.
3. Gli Stati membri possono disporre che sia chiesto il consenso ulteriore degli abbonati per tutti gli scopi di un elenco pubblico diversi dalla ricerca di dati su persone sulla base del loro nome e, ove necessario, di un numero minimo di altri elementi di identificazione».
B. Diritto belga
26. La Wet van 13 juni 2005 betreffende de elektronische communicatie (legge del 13 giugno 2005 sulla comunicazione elettronica) recepisce nel diritto belga, in particolare, la direttiva 2002/58 (6). L’articolo 133, paragrafo 1, di tale legge attua l’articolo 12, paragrafo 2, della direttiva 2002/58. Le altre disposizioni della WEC pertinenti ai fini della proposta di risposta alle questioni poste dal giudice del rinvio sono richiamate qui di seguito.
IV. Procedimento nazionale e procedimento dinanzi alla Corte
27. Nella misura in cui è rilevante ai fini del rinvio pregiudiziale alla Corte, ricordo che il 30 luglio 2020 la Sezione Contenzioso dell’Autorità per la protezione dei dati ha ordinato alla Proximus di i) adottare misure immediate e adeguate per dare seguito alla revoca del consenso del reclamante e, quindi, rispettare i requisiti concernenti il trattamento dei dati personali imposti dal RGPD; ii) adempiere alla richiesta del reclamante di esercitare il suo «diritto all’oblio»; e iii) cessare il trattamento illecito dei dati consistente nel trasmettere dati personali a terzi fornitori di elenchi. Essa ha inoltre censurato il mancato rispetto, da parte della Proximus, dell’articolo 24 del RGPD. La Sezione Contenzioso dell’Autorità per la protezione dei dati ha inflitto a Proximus un’ammenda di EUR 20 000 per violazione degli articoli 6, 7 e 12 del RGPD (in prosieguo: la «decisione controversa»).
28. La Proximus ha impugnato la decisione controversa dinanzi allo hof van beroep te Brussel (Corte d’appello di Bruxelles), che ha sottoposto alla Corte le seguenti questioni pregiudiziali:
«1) Se l’articolo 12[, paragrafo 2], della direttiva sulla e-privacy 2002/58/CE, in combinato disposto con l’articolo 2, [lettera f),] di tale direttiva e con l’articolo 95 del [RGPD], debba essere interpretato nel senso che esso consente che un’autorità di controllo nazionale esiga un “consenso” dell’abbonato, ai sensi del [RGPD], come fondamento per la pubblicazione dei dati personali del medesimo in elenchi telefonici e servizi d’informazione telefonici pubblici, pubblicati sia dall’operatore medesimo che da terzi offerenti, in mancanza di una diversa normativa nazionale in materia.
2) Se il diritto alla cancellazione dei dati, di cui all’articolo 17 del [RGPD], debba essere interpretato nel senso che esso osta a che un’autorità di controllo nazionale qualifichi una domanda di un abbonato di essere cancellato da elenchi telefonici e servizi d’informazione telefonici pubblici come una richiesta di cancellazione dei dati, ai sensi dell’articolo 17 del [RGPD].
3) Se gli articoli 24 e 5[, paragrafo 2], del [RGPD] debbano essere interpretati nel senso che essi ostano a che un’autorità di controllo nazionale desuma dalla responsabilizzazione in esso sancita che il titolare del trattamento debba adottare le misure tecniche e organizzative adeguate per informare i terzi titolari, ossia l’offerente di servizi telefonici e altri offerenti di elenchi telefonici e di servizi d’informazione telefonici che hanno ricevuto dati dal primo titolare del trattamento, della revoca del consenso da parte dell’interessato, ai sensi dell’articolo 6 in combinato disposto con l’articolo 7 del [RGPD].
4) Se l’articolo 17[, paragrafo 2,] del [RGPD], debba essere interpretato nel senso che esso osta a che un’autorità di controllo nazionale intimi a un offerente di elenchi telefonici e di servizi d’informazione telefonici pubblici, a cui sia richiesto di non pubblicare più i dati di una persona, di adottare misure ragionevoli per informare i motori di ricerca di detta richiesta».
29. La Proximus, l’Autorità per la protezione dei dati, i governi italiano, lettone, portoghese e rumeno e la Commissione europea hanno presentato osservazioni scritte.
30. All’udienza del 9 febbraio 2022 la Proximus, l’Autorità per la protezione dei dati e la Commissione hanno presentato le loro osservazioni orali e risposto ai quesiti della Corte.
V. Valutazione
A. Ricevibilità delle questioni pregiudiziali
31. In via preliminare, la Proximus sostiene che la parte della prima questione concernente gli obblighi degli operatori di telecomunicazioni diversi da quelli imposti ai fornitori di elenchi, nonché le questioni seconda e quarta sono ipotetiche e/o non rilevanti rispetto alle problematiche sulle quali il giudice del rinvio è chiamato a statuire, e sono pertanto irricevibili.
32. Secondo una giurisprudenza costante della Corte, nell’ambito di un procedimento ex articolo 267 TFUE, spetta esclusivamente al giudice nazionale, cui è stata sottoposta la controversia e che deve assumersi la responsabilità dell’emananda decisione giurisdizionale, valutare, alla luce delle particolari circostanze della causa, sia la necessità di una pronuncia pregiudiziale per essere in grado di emettere la propria sentenza, sia la rilevanza delle questioni che sottopone alla Corte. Di conseguenza, se le questioni sollevate vertono sull’interpretazione del diritto dell’Unione, la Corte in linea di principio è tenuta a statuire (7).
33. Tuttavia, il rifiuto di statuire su una questione pregiudiziale sollevata da un giudice nazionale è possibile qualora risulti manifestamente che la richiesta interpretazione del diritto dell’Unione non ha alcuna relazione con la realtà o con l’oggetto della causa principale, qualora il problema sia di natura ipotetica oppure qualora la Corte non disponga degli elementi di fatto o di diritto necessari per fornire una soluzione utile alle questioni che le sono sottoposte (8).
34. In risposta alle osservazioni della Proximus concernenti l’irricevibilità, suggerisco di esporre i principali argomenti delle parti dinanzi alla Corte, al fine di valutare se le quattro questioni pregiudiziali siano talmente distanti dall’oggetto della controversia dinanzi al giudice del rinvio da non avere alcun rapporto con i fatti del procedimento principale o con il suo oggetto, sicché tutte o parte di esse sarebbero irricevibili.
35. La Proximus ritiene di non avere l’obbligo di ottenere il consenso del reclamante per includere i dati di contatto di quest’ultimo nei suoi elenchi telefonici, né di offrirgli la possibilità di decidere se i suoi dati personali debbano figurarvi o meno. Secondo la Proximus, si tratta di questioni rientranti nella responsabilità dell’operatore di telecomunicazioni (nella fattispecie la Telenet). Ne consegue che il reclamante avrebbe dovuto rivolgere alla Telenet la richiesta di rimuovere i suoi dati di contatto dagli elenchi telefonici della Proximus. In subordine, la Proximus ritiene che le disposizioni del RGPD in materia di «diritto all’oblio» siano irrilevanti, poiché la rimozione dei dati di contatto consiste nel modificare il parametro da «NNNNN» a «XXXXX» nel pertinente registro. Si tratterebbe di una rettifica, e non di una cancellazione di dati. Sarebbe inoltre irragionevole imporre alla Proximus di informare i fornitori di motori di ricerca della richiesta del reclamante, non essendo certo se questi ultimi abbiano ottenuto i relativi dati di contatto dalla Proximus o da un altro fornitore di elenchi telefonici.
36. L’Autorità per la protezione dei dati sostiene che l’inserimento dei dati di contatto del reclamante in elenchi telefonici richiedeva il suo previo consenso. Dopo che quest’ultimo ha informato la Proximus che non desiderava più che i suoi dati continuassero a figurarvi, la loro permanenza in tutti siffatti elenchi è divenuta illecita. La richiesta del reclamante costituiva una revoca del suo consenso e un esercizio del suo «diritto all’oblio» ai sensi dell’articolo 17 del RGPD. L’articolo 17, paragrafo 2, del RGPD obbligava la Proximus a informare i fornitori di motori di ricerca di tale richiesta. L’articolo 5, paragrafo 2, e l’articolo 24 del RGPD consentono inoltre all’Autorità per la protezione dei dati di intimare alla Proximus di informare l’operatore di telecomunicazioni e altri fornitori di elenchi di tale richiesta.
37. Le osservazioni del governo italiano e della Commissione ricalcano in larga misura la posizione assunta dall’Autorità per la protezione dei dati. Sebbene le osservazioni dei governi lettone, portoghese e rumeno adottino un approccio simile, esse includono anche i distinguo illustrati qui di seguito. Il governo lettone sottolinea che non vi è alcuna base giuridica per imporre a ciascun fornitore di elenchi di ottenere un consenso separato: i vari fornitori, che utilizzano dati per le stesse finalità, devono potersi fondare su un’unica manifestazione di consenso da parte dell’interessato. Il governo rumeno ritiene che l’articolo 5, paragrafo 2, e l’articolo 24 del RGPD non possano essere invocati nel modo prospettato dall’Autorità per la protezione dei dati, poiché tali disposizioni non impongono ai titolari del trattamento l’obbligo di avviare un dialogo con altri titolari del trattamento. Il governo portoghese ritiene che l’obbligo dei titolari del trattamento di informare i terzi, compresi i fornitori di motori di ricerca, delle richieste di cancellazione dei dati discenda dall’articolo 19 del RGPD, e non dal suo articolo 17, paragrafo 2.
38. Sulla base di questa breve rassegna degli argomenti principali delle parti dinanzi alla Corte, sono persuaso che tutte le quattro questioni poste dal giudice del rinvio siano rilevanti rispetto all’oggetto della controversia di cui esso è investito e che siano così strettamente connesse da non poter ritenere irricevibile alcuna parte di esse. Di conseguenza, propongo alla Corte di respingere le eccezioni di irricevibilità delle questioni pregiudiziali sollevate dalla Proximus.
B. Valutazione nel merito
1. Prima questione
39. Con la sua prima questione, il giudice del rinvio chiede in sostanza se, ai sensi dell’articolo 12, paragrafo 2, della direttiva 2002/58, in combinato disposto con l’articolo 2, lettera f), della stessa e con l’articolo 95 del RGPD, sia necessario il consenso dell’abbonato, come definito dal RGPD, per riportare i suoi dati di contatto in elenchi telefonici pubblicati da un operatore di telecomunicazioni e/o da altri fornitori di elenchi.
40. L’articolo 12, paragrafo 2, della direttiva 2002/58 esige che gli abbonati abbiano la possibilità di decidere se i loro dati personali debbano essere riportati in un elenco pubblico. In tale requisito è implicitamente incluso il corrispondente obbligo di offrire agli abbonati la possibilità di scegliere espressamente se desiderano che i loro dati siano riportati in tali elenchi. L’articolo 12, paragrafo 3, della direttiva 2002/58, inoltre, fa riferimento al fatto che può essere richiesto un «consenso ulteriore» degli abbonati per tutti gli scopi di un elenco pubblico diversi dalla ricerca di dati su persone sulla base del loro nome (9). Il riferimento al «consenso ulteriore» contenuto nell’articolo 12, paragrafo 3, implica altresì che l’articolo 12, paragrafo 2, esige che sia ottenuto, anzitutto, il consenso alla pubblicazione.
41. Come osservato ai paragrafi 23 e 24 delle presenti conclusioni, ai sensi dell’articolo 2, lettera f), della direttiva 2002/58, per «consenso» si intende qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.
42. Il riferimento a un’«azione positiva» nella definizione del consenso ai fini della direttiva 2002/58 costituisce un’ulteriore indicazione del fatto che agli abbonati deve essere offerta la possibilità di esercitare l’«opt-in» e acconsentire all’inserimento dei loro dati personali in un elenco pubblico. A differenza di quanto sostenuto dalla Proximus, i fornitori di elenchi non possono presumere che, per impostazione predefinita, un abbonato acconsenta all’inserimento dei suoi dati in un elenco pubblico, ossia che viga ciò che potrebbe essere qualificato come un approccio «opt-out».
43. Inoltre, la Corte ha dichiarato che da un’interpretazione contestuale e sistematica dell’articolo 12 della direttiva 2002/58 risulta che il consenso di cui all’articolo 12, paragrafo 2, di tale direttiva riguarda lo scopo della pubblicazione dei dati personali in un elenco pubblico e non già l’identità di uno specifico fornitore. Il consenso previsto all’articolo 12, paragrafo 2, della direttiva 2002/58 si applica, quindi, a qualunque ulteriore trattamento di dati da parte di imprese terze attive nel mercato della fornitura di elenchi e di servizi di consultazione accessibili al pubblico, purché un simile trattamento persegua la medesima finalità (10).
44. Ne consegue che il consenso dell’abbonato, come definito dall’articolo 4, punto 11, del RGPD, è necessario per includere i suoi dati personali negli elenchi pubblicati dall’operatore di telecomunicazioni e/o da terzi fornitori di elenchi. Qualora detta pubblicazione risponda alla stessa finalità, l’operatore di telecomunicazioni e/o il terzo o i terzi fornitori possono fondarsi su tale medesimo consenso.
45. Vorrei aggiungere che, per effetto dell’articolo 7, paragrafo 1, del RGPD, qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei dati personali. Un fornitore di elenchi quale la Proximus non può presumere che un abbonato abbia prestato il suo consenso, sebbene possa basarsi sul consenso prestato dall’abbonato a un altro titolare del trattamento.
46. La Proximus si fonda sui considerando 38 e 39 della direttiva 2002/58 per sostenere la tesi secondo cui qualsiasi obbligo i) di informare gli abbonati della finalità degli elenchi nei quali i loro dati personali saranno inclusi e ii) di offrire loro la possibilità di decidere se i loro dati personali saranno inclusi in un elenco incombe unicamente all’operatore di telecomunicazioni con il quale l’abbonato ha concluso un contratto. Il testo di detti considerando non suffraga tale affermazione. Il considerando 38 fa riferimento all’obbligo dei «fornitori di elenchi pubblici» di «inform[are] gli abbonati che vi figureranno degli scopi dell’elenco stesso (...)». Il considerando 39 stabilisce che «[l]’obbligo di informare gli abbonati sugli scopi di elenchi pubblici in cui i loro dati personali devono essere inclusi dovrebbe essere imposto alla parte che raccoglie i dati per tale inclusione».
47. Poiché la Telenet non pubblica elenchi, nessuno dei due considerando trova applicazione nei suoi confronti. Sebbene un operatore di telecomunicazioni possa ottenere il consenso degli abbonati ai fini dell’inclusione dei loro dati in elenchi forniti da terzi, e sebbene tali terzi possano in seguito fondarsi su tale consenso ed essere in grado di dimostrare che è stato prestato all’operatore di telecomunicazioni, i considerando 38 e 39 della direttiva 2002/58 non implicano che soltanto gli operatori di telecomunicazioni siano tenuti ad ottenere detto consenso, esentando in tal modo i terzi fornitori di elenchi dalle loro responsabilità e dai loro obblighi a tale riguardo.
48. Infine, poiché la direttiva 2002/58 adotta espressamente la definizione di consenso contenuta nel RGPD, l’argomento dedotto dalla Proximus in merito all’interpretazione dell’articolo 95 del RGPD e al rapporto tra il RGPD e la direttiva 2002/58, che essa ha qualificato come un rapporto di «lex generalis/lex specialis», non è pertinente.
49. Propongo pertanto alla Corte di rispondere alla prima questione dichiarando che, ai sensi dell’articolo 12, paragrafo 2, della direttiva 2002/58, in combinato disposto con l’articolo 2, lettera f), della stessa e con l’articolo 95 del RGPD, è necessario il «consenso» dell’abbonato, come definito all’articolo 4, punto 11, del RGPD, per riportare i suoi dati di contatto in elenchi telefonici pubblicati da un operatore di telecomunicazioni e/o da altri fornitori di elenchi.
2. Seconda questione
50. Con la seconda questione, il giudice del rinvio intende stabilire se la richiesta, da parte di un abbonato, di cancellare i suoi dati da elenchi telefonici costituisca esercizio del «diritto alla cancellazione» previsto dall’articolo 17 del RGPD.
51. La Proximus sostiene che un terzo fornitore di elenchi non ha alcun obbligo di dare seguito alla richiesta di un abbonato di cancellare dati dagli elenchi, poiché l’articolo 17 del RGPD non si applica a tale terzo. L’abbonato avrebbe dovuto rivolgere la sua richiesta all’operatore di telecomunicazioni con il quale ha concluso un contratto. La Proximus ribadisce che il rapporto tra il RGPD e la direttiva 2002/58 è un rapporto di lex generalis/lex specialis.
52. In subordine, la Proximus sostiene che la richiesta del reclamante di «non riportare il numero di telefono (...) su 1207.be» costituisce una richiesta di rettifica ai sensi dell’articolo 16 del RGPD, e non una richiesta di cancellazione ai sensi dell’articolo 17 del RGPD, poiché il parametro di riferimento nel registro dell’abbonato è semplicemente modificato da «NNNNN» a «XXXXX».
53. L’articolo 12, paragrafo 2, della direttiva 2002/58 precisa che agli abbonati deve essere offerta la possibilità di «rettificare o ritirare» dati personali che hanno acconsentito a far figurare in elenchi. La direttiva 2002/58 non definisce i termini «rettificare o ritirare». È quindi opportuno tener conto del significato comune di tali termini nel contesto in cui compaiono, vale a dire l’inserimento in elenchi dei dati degli abbonati. È chiaro che il termine «rettificare» si applica a situazioni in cui l’abbonato desidera modificare il modo in cui i suoi dati di contatto figurano in un elenco, ad esempio correggendo il modo in cui è scritto un nome o le inesattezze in un indirizzo. Tale situazione è diversa da quella che si presenta nel caso di specie, in cui il reclamante desidera che i suoi dati cessino di figurare in elenchi telefonici pubblici. Tra i significati del termine «ritirare» vi sono «rimuovere», «ritrattare» e «revocare». Si può affermare che, cessando di acconsentire al trattamento dei suoi dati mediante inclusione in elenchi telefonici, il reclamante ha chiesto il ritiro dei suoi dati personali ai sensi dell’articolo 12, paragrafo 2, della direttiva 2002/58.
54. Come sottolineato dal governo lettone, la direttiva 2002/58 non contiene alcuna altra indicazione quanto alle modalità, all’attuazione e alle conseguenze delle richieste di «ritiro» di dati personali. Le disposizioni del RGPD sono quindi direttamente applicabili e pertanto viene meno l’argomento della Proximus basato sul rapporto di lex generalis/lex specialis tra i due atti. Ai sensi dell’articolo 7, paragrafo 3, del RGPD un abbonato ha il diritto di revocare il suo consenso in qualsiasi momento. Una volta che tale consenso è revocato, l’articolo 6, paragrafo 1, lettera a), del RGPD stabilisce che il trattamento dei dati dell’abbonato allo scopo specifico della loro inclusione in elenchi cessa di essere lecito. Ciò determina, a sua volta, l’applicazione dell’articolo 17 del RGPD.
55. La Proximus sostiene che tale interpretazione non può essere corretta, poiché implicherebbe che tanto essa stessa quanto la Telenet sarebbero tenute a cancellare la registrazione riguardante il reclamante da tutte le loro banche dati. L’Autorità per la protezione dei dati e le altre parti che hanno presentato osservazioni alla Corte ritengono che la richiesta del reclamante sia limitata al ritiro dei suoi dati dagli elenchi telefonici e non si estenda alla loro cancellazione dalla banca dati degli abbonati della Telenet.
56. Il reclamante intende impedire che i suoi dati siano trattati per le finalità connesse agli elenchi telefonici. L’articolo 17, paragrafo 1, lettera b), del RGPD, che permette la revoca del consenso su cui si basa il trattamento, agevola detta volontà. Il consenso che deve essere ottenuto dall’abbonato ai sensi dell’articolo 12, paragrafo 2, della direttiva 2002/58 verte sul trattamento dei dati in una modalità specifica, segnatamente ai fini della pubblicazione in elenchi. Qualora tale consenso sia stato revocato, tale particolare modalità di trattamento dei dati dell’abbonato diviene illecita. Se così non fosse, un abbonato non sarebbe in grado di revocare il suo consenso ai fini della pubblicazione in elenchi senza porre contemporaneamente fine al suo contratto per la fornitura di servizi di telecomunicazione.
57. Propongo pertanto alla Corte di rispondere alla seconda questione nel senso che la richiesta, da parte di un abbonato, di cancellare i suoi dati da elenchi telefonici costituisce esercizio del «diritto alla cancellazione» previsto dall’articolo 17 del RGPD.
3. Terza questione
58. Con la sua terza questione, il giudice del rinvio chiede, in sostanza, se ai sensi dell’articolo 5, paragrafo 2, e dell’articolo 24 del RGPD, un’autorità nazionale di controllo possa decidere che il titolare del trattamento debba adottare le misure tecniche e organizzative adeguate per informare i terzi titolari del trattamento, segnatamente l’operatore di telecomunicazioni e gli altri fornitori di elenchi telefonici che abbiano ricevuto dati dal primo titolare del trattamento, della revoca del consenso da parte dell’interessato, ai sensi dell’articolo 6 del RGPD, in combinato disposto con l’articolo 7 dello stesso.
59. In tale questione, il «titolare» è la Proximus e i «terzi titolari» sono: i) l’operatore di telecomunicazioni, ossia la Telenet, con il quale il reclamante ha sottoscritto un abbonamento telefonico; e ii) il fornitore o i fornitori di elenchi telefonici ai quali la Proximus trasmette i dettagli degli abbonati, compresi quelli ricevuti dalla Telenet.
60. Poiché l’operatore di telecomunicazioni non fornisce elenchi telefonici e poiché è necessario il consenso degli abbonati ai fini dell’inserimento dei loro dati di contatto negli elenchi, si pone la questione del motivo per cui sarebbe rilevante informare l’operatore di telecomunicazioni della revoca, da parte dell’abbonato, del suo consenso all’utilizzo dei suoi dati per tale finalità.
61. La WEC impone agli operatori di telecomunicazioni di trasmettere i dati di contatto degli abbonati ai fornitori di elenchi (11). Tuttavia, essi devono «mantenere separati» i dati di contatto degli abbonati che hanno indicato di non voler figurare in un elenco, in modo da consentire loro di ricevere una copia di tale elenco (12). Come descritto al paragrafo 4 delle presenti conclusioni, alla revoca del consenso è dato seguito adeguando i parametri che figurano nel registro di un abbonato. La Proximus aggiorna la propria banca dati una volta ricevuta la revoca del consenso. Tale aggiornamento è tuttavia eraso qualora la Proximus riceva un altro insieme di dati dell’abbonato dall’operatore di telecomunicazioni ai fini della loro inclusione in elenchi telefonici e l’operatore di telecomunicazioni non sia stato informato della richiesta, da parte dell’abbonato, di non includere i suoi dati in un elenco telefonico pubblico. La Proximus deve quindi non soltanto aggiornare la propria banca dati per dare seguito alla revoca del consenso dell’abbonato, ma anche informare l’operatore di telecomunicazioni di tale revoca.
62. La Proximus sostiene di essere una mera «destinataria cui sono stati trasmessi i dati personali» ai sensi dell’articolo 19 del RGPD. Pertanto, ad essa non si applicherebbe l’obbligo, posto dall’articolo 17, paragrafo 2, del RGPD in capo ai titolari del trattamento, di adottare misure ragionevoli per informare altri titolari del trattamento della richiesta di cancellazione. Ne consegue, secondo la Proximus, che non è corretto interpretare l’articolo 5, paragrafo 2, e l’articolo 24 del RGPD nel senso che essi le impongano l’obbligo di informare l’operatore di telecomunicazioni e gli altri fornitori di elenchi delle richieste di cancellazione da essa ricevute.
63. Mi risulta difficile accettare che la Proximus sia una semplice destinataria di dati personali. Sebbene possa aver ricevuto i dati di contatto del reclamante dalla Telenet, la pubblicazione di tali dati nei suoi elenchi costituisce un trattamento di dati ai sensi dell’articolo 4, punto 2, del RGPD. In tale contesto, la Proximus agisce come titolare del trattamento ai sensi dell’articolo 4, punto 7, del RGPD (13). Conformemente all’articolo 5, paragrafo 2, e all’articolo 24 del RGPD, i titolari del trattamento sono soggetti a obblighi concernenti la responsabilizzazione e l’adozione di misure adeguate per garantire che il trattamento dei dati sia effettuato in conformità con il RGPD.
64. L’articolo 5, paragrafo 1, lettera a), del RGPD stabilisce che i dati personali sono trattati in modo lecito. Ai sensi dell’articolo 6, paragrafo 1, lettera a), di tale regolamento, il trattamento è lecito solo se e nella misura in cui l’interessato abbia acconsentito al trattamento dei propri dati per una o più specifiche finalità. Dall’ordinanza di rinvio emerge che il reclamante ha revocato il suo consenso, ai sensi dell’articolo 7 del RGPD, al trattamento dei suoi dati personali ai fini della pubblicazione in elenchi telefonici. Siffatto trattamento, compreso quello effettuato da altri fornitori di elenchi per la stessa finalità, non è conforme al RGPD. Esso è quindi illecito.
65. È coerente con tale constatazione, nonché con gli obblighi di informazione di cui all’articolo 17, paragrafo 2, e all’articolo 19 del RGPD, il fatto che un’autorità nazionale di controllo possa desumere – dalla responsabilizzazione sancita all’articolo 5, paragrafo 2, del RGPD e dall’obbligo, di cui all’articolo 24 del RGPD, di garantire ed essere in grado di dimostrare che il trattamento è effettuato conformemente al regolamento – che il titolare del trattamento debba, mediante misure tecniche e organizzative adeguate, informare gli altri titolari del trattamento, segnatamente il fornitore di servizi di telecomunicazione e altri fornitori di elenchi che abbiano ricevuto dati dal primo titolare del trattamento, della revoca del consenso da parte dell’interessato ai sensi dell’articolo 6 del RGPD, in combinato disposto con l’articolo 7 dello stesso.
66. Il governo rumeno osserva che l’articolo 17, paragrafo 2, del RGPD contiene i requisiti di informazione imposti ai fornitori di motori di ricerca quando sono presentate richieste di cancellazione. Sarebbe quindi inappropriato, per un’autorità nazionale di controllo, basarsi sull’articolo 5, paragrafo 2, e sull’articolo 24 del RGPD, soprattutto poiché tali disposizioni non contengono obblighi specifici che disciplinano la trasmissione di informazioni a terzi.
67. A mio avviso, l’articolo 5, paragrafo 2, e l’articolo 24 del RGPD impongono ai titolari del trattamento requisiti generali di responsabilità e di conformità. La loro formulazione e portata ampie consentono loro di agevolare un’autorità nazionale di controllo che intenda imporre obblighi di informazione nei confronti dei terzi in capo ai titolari del trattamento. È vero che l’articolo 17, paragrafo 2, e l’articolo 19 del RGPD stabiliscono obblighi specifici di informazione in capo, rispettivamente, ai «titolari del trattamento» (per quanto concerne i dati che sono stati resi pubblici e di cui è stata richiesta la cancellazione) e ai «destinatari». Tali disposizioni non coprono, tuttavia, la situazione di fatto qui in esame, in cui si manifesta la necessità, a causa dell’interazione delle banche dati delle varie parti coinvolte, di informare l’operatore di telecomunicazioni della revoca del consenso, mancando il quale, la Proximus e i fornitori che utilizzano i dati degli abbonati da questa ricevuti finiscono per effettuare un trattamento di dati illecito.
68. Tale interpretazione del RGPD conduce a una situazione in cui un abbonato può comunicare la revoca del suo consenso (nel caso di specie una richiesta di non includere negli elenchi i dati di contatto) a qualsiasi ente che pubblichi tali dati in elenchi, o a qualsiasi ente (compreso l’operatore di telecomunicazioni) che comunichi tali dati di contatto ad altri per la stessa finalità. L’ente al quale l’abbonato sceglie di rivolgersi è incaricato di trasmettere la sua richiesta di cancellazione ad altri titolari del trattamento, nei limiti necessari a evitare un trattamento illecito di tali dati. Siffatta interpretazione è conforme all’obbligo che l’articolo 12, paragrafo 2, del RGPD impone ai titolari del trattamento di agevolare l’esercizio dei diritti degli interessati ai sensi degli articoli da 15 a 22 del RGPD. Essa riflette inoltre il requisito contenuto nell’ultima frase dell’articolo 7, paragrafo 3, del RGPD, ai sensi del quale il consenso al trattamento dei dati è revocato con la stessa facilità con cui è accordato. Poiché un fornitore di elenchi può fondarsi sul consenso al trattamento dei dati per tale finalità prestato da un abbonato a un altro fornitore, ne consegue che, per revocare il consenso, l’abbonato deve avere la possibilità di rivolgersi a uno qualsiasi dei fornitori di elenchi oppure all’operatore di telecomunicazioni al fine di ottenere la rimozione dei suoi dati di contatto dagli elenchi pubblicati da tutti i soggetti che si sono fondati sulla sua singola manifestazione di consenso.
69. Suggerisco pertanto di rispondere alla terza questione nel senso che, ai sensi dell’articolo 5, paragrafo 2, e dell’articolo 24 del RGPD, un’autorità nazionale di controllo può decidere che il titolare del trattamento debba adottare le misure tecniche e organizzative adeguate per informare i terzi titolari del trattamento – segnatamente l’operatore di telecomunicazioni e gli altri fornitori di elenchi telefonici che abbiano ricevuto dati dal primo titolare del trattamento – della revoca del consenso da parte dell’interessato, ai sensi dell’articolo 6 del RGPD, in combinato disposto con l’articolo 7 dello stesso.
4. Quarta questione
70. Con la quarta questione, il giudice del rinvio chiede, in sostanza, se l’articolo 17, paragrafo 2, RGPD osti a che un’autorità nazionale di controllo intimi a un fornitore di elenchi telefonici di informare i fornitori di motori di ricerca delle richieste di cancellazione da esso ricevute.
71. Sottintesa a tale questione è l’opinione del giudice del rinvio secondo cui il reclamante desidera che i suoi dati di contatto cessino di essere accessibili al pubblico su Internet, attraverso motori di ricerca.
72. Come indicato al paragrafo 62 delle presenti conclusioni, la Proximus ritiene che l’articolo 17, paragrafo 2, del RGPD non trovi applicazione nei suoi confronti, poiché essa sarebbe una mera destinataria di dati personali. In subordine, la Proximus sostiene che, ai sensi dell’articolo 17, paragrafo 2, del RGPD, essa è tenuta soltanto ad adottare misure ragionevoli per informare i titolari del trattamento del fatto che l’interessato ha chiesto la cancellazione dei suoi dati (14). In assenza di una comunicazione diretta di dati da parte della Proximus ai fornitori di motori di ricerca, non sarebbe «certo al 100%» che questi ultimi abbiano ottenuto i dati di contatto del reclamante dalla Proximus, potendo averli ottenuti da un altro fornitore di elenchi telefonici. In tali circostanze, sarebbe irragionevole esigere che la Proximus, non appena ricevuta la richiesta del reclamante, contatti direttamente i fornitori di motori di ricerca.
73. Dalla mia proposta di risposta alla seconda questione discende che la richiesta di un abbonato di rimuovere i suoi dati dagli elenchi telefonici determina l’applicazione dell’obbligo, che l’articolo 17, paragrafo 2, del RGPD pone in capo al titolare del trattamento, di adottare misure ragionevoli soltanto per informare i titolari del trattamento che stanno trattando dati personali del fatto che l’interessato ha richiesto la cancellazione di qualsiasi link, copia o riproduzione dei suoi dati personali.
74. Si pone dunque la questione se i fornitori di motori di ricerca siano titolari del trattamento oppure no. Indicizzare e mettere a disposizione degli utenti di Internet dati personali in un elenco di risultati di ricerca costituisce un trattamento di dati personali ai sensi dell’articolo 4, punto 2, del RGPD. Poiché i fornitori di motori di ricerca decidono le modalità di indicizzazione dei dati e sono responsabili per lo sviluppo dell’algoritmo che individua l’ordine di presentazione dei risultati della ricerca, essi determinano le finalità e i mezzi del trattamento di dati personali, agendo in tal modo come titolari del trattamento ai fini dell’articolo 4, punto 7, del RGPD (15).
75. Resta l’esigenza che la Proximus adotti soltanto misure ragionevoli, comprese misure tecniche, per informare i fornitori di motori di ricerca di una richiesta di cancellazione di dati.
76. Per valutare la ragionevolezza delle misure adottate, l’articolo 17, paragrafo 2, del RGPD prevede che si tenga conto della tecnologia disponibile e dei costi di attuazione, compito che spetta principalmente all’autorità competente per tali questioni, fermo restando il controllo giurisdizionale. Nel paragrafo 10 delle presenti conclusioni si osserva che la Proximus ha comunicato al reclamante che avrebbe informato Google della sua richiesta di cancellazione. Nelle sue osservazioni dinanzi alla Corte, l’Autorità per la protezione dei dati ha indicato che, nel secondo trimestre del 2020, vi era un numero limitato di fornitori di motori di ricerca in Belgio, con in testa Google, che disponeva di una quota di mercato compresa tra il 90% (per le ricerche su desktop) e il 99% (per le ricerche su smartphone e tablet) (16). Su questa sola base, appare ingiustificato concludere che sarebbe irragionevole imporre alla Proximus di informare i fornitori di motori di ricerca delle richieste di cancellazione da essa ricevute.
77. In ogni caso, non sono convinto che la valutazione della questione se le misure che la Proximus è tenuta ad adottare per informare un determinato motore di ricerca siano «ragionevoli» ai sensi dell’articolo 17, paragrafo 2, del RGPD, debba tenere conto della questione se sia o meno «certo al 100%» che il fornitore di motori di ricerca in questione abbia ottenuto i dati da cancellare dalla Proximus. Non mi convince neppure l’argomento secondo cui sarebbe irragionevole esigere che la Proximus adotti tutte le misure necessarie per conformarsi all’articolo 17, paragrafo 2, del RGPD, poiché non sarebbe «certo al 100%» che i fornitori di motori di ricerca abbiano ottenuto i dati di contatto del reclamante dalla Proximus.
78. Permettere ai titolari del trattamento di sottrarsi alla responsabilità per il trattamento di dati personali in base alla possibilità che i dati in questione non siano stati forniti da essi priverebbe di efficacia qualsiasi obbligo a tale riguardo nei molteplici casi in cui i dati sono contenuti in un link o sono copiati in Internet. Siffatto approccio potrebbe persino costituire un pernicioso incentivo alla diffusione di dati al fine di evitare di essere sottoposti a tale obbligo. Inoltre, se si portasse l’argomento della Proximus alla sua logica conclusione, nessun fornitore di elenchi telefonici sarebbe responsabile di rispettare l’articolo 17, paragrafo 2, del RGPD mediante l’informazione dei fornitori di motori di ricerca della richiesta del reclamante, perché tutti questi fornitori potrebbero fare affidamento su qualsiasi incertezza quanto all’origine dei dati. Per di più, poiché la Telenet non pubblica elenchi telefonici, i fornitori di motori di ricerca non potrebbero aver ottenuto i dati dall’operatore di telecomunicazioni. Ciò significa che l’abbonato dovrebbe scoprire dove sono disponibili i suoi dati e rivolgere richieste di cancellazione a ciascun soggetto che li pubblica. Siffatto approccio sarebbe manifestamente contrario all’articolo 7, paragrafo 3, del RGPD, il quale prevede che il consenso è revocato con la stessa facilità con cui è accordato.
79. Di conseguenza, suggerisco alla Corte di rispondere alla quarta questione nel senso che l’articolo 17, paragrafo 2, del RGPD non osta a che un’autorità nazionale di controllo intimi a un fornitore di elenchi telefonici di informare i fornitori di motori di ricerca delle richieste di cancellazione da esso ricevute.
VI. Conclusione
80. Suggerisco pertanto alla Corte di rispondere alle questioni pregiudiziali proposte dallo hof van beroep te Brussel (Corte d’appello di Bruxelles, Belgio) nei seguenti termini:
1) Ai sensi dell’articolo 12, paragrafo 2, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche), in combinato disposto con l’articolo 2, lettera f), della stessa e con l’articolo 95 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), è necessario il «consenso» dell’abbonato, come definito all’articolo 4, punto 11, del regolamento generale sulla protezione dei dati, per riportare i suoi dati di contatto in elenchi telefonici pubblicati da un operatore di telecomunicazioni e/o da altri fornitori di elenchi.
2) La richiesta, da parte di un abbonato, di cancellare i suoi dati da elenchi telefonici costituisce esercizio del «diritto alla cancellazione» previsto dall’articolo 17 del regolamento generale sulla protezione dei dati.
3) Ai sensi dell’articolo 5, paragrafo 2, e dell’articolo 24 del regolamento generale sulla protezione dei dati, un’autorità nazionale di controllo può decidere che il titolare del trattamento debba adottare le misure tecniche e organizzative adeguate per informare i terzi titolari del trattamento – segnatamente l’operatore di telecomunicazioni e gli altri fornitori di elenchi telefonici che abbiano ricevuto dati dal primo titolare del trattamento – della revoca del consenso da parte dell’interessato, ai sensi dell’articolo 6 del regolamento generale sulla protezione dei dati, in combinato disposto con l’articolo 7 dello stesso.
4) L’articolo 17, paragrafo 2, del regolamento generale sulla protezione dei dati non osta a che un’autorità nazionale di controllo intimi a un fornitore di elenchi telefonici di informare i fornitori di motori di ricerca delle richieste di cancellazione da esso ricevute.