SENTENZA DELLA CORTE (Quarta Sezione)
27 ottobre 2022 (*)
«Rinvio pregiudiziale – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Direttiva 2002/58/CE – Articolo 12 – Elenchi telefonici pubblici e servizi di consultazione degli elenchi telefonici – Consenso dell’abbonato – Obblighi del fornitore degli elenchi telefonici e dei servizi di consultazione degli elenchi telefonici – Regolamento (UE) 2016/679 – Articolo 17 – Diritto alla cancellazione (“diritto all’oblio”) – Articolo 5, paragrafo 2 – Articolo 24 – Obblighi di informazione e responsabilità del titolare del trattamento»
Nella causa C‑129/21,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dallo hof van beroep te Brussel (Corte d’appello di Bruxelles, Belgio), con decisione del 24 febbraio 2021, pervenuta in cancelleria il 2 marzo 2021, nel procedimento
Proximus NV
contro
Gegevensbeschermingsautoriteit,
LA CORTE (Quarta Sezione),
composta da C. Lycourgos, presidente di sezione, L.S. Rossi (relatrice), J.‑C. Bonichot, S. Rodin e O. Spineanu‑Matei, giudici,
avvocato generale: A.M. Collins,
cancelliere: M. Ferreira, amministratrice principale
vista la fase scritta del procedimento e in seguito all’udienza del 9 febbraio 2022,
considerate le osservazioni presentate:
– per la Proximus NV, da P. Craddock e T. de Haan, avocats, nonché da E. Van Bogget, advocaat;
– per la Gegevensbeschermingsautoriteit, da C. Buggenhoudt, E. Cloots e J. Roets, advocaten;
– per il governo italiano, da G. Palmieri, in qualità di agente, assistita da E. De Bonis, avvocato dello Stato;
– per il governo lettone, da E. Bārdiņš, J. Davidoviča e K. Pommere, in qualità di agenti;
– per il governo portoghese, da P. Barros da Costa, L. Inez Fernandes, M.J. Ramos e C. Vieira Guerra, in qualità di agenti;
– per il governo rumeno, da E. Gane e L. Liţu, in qualità di agenti;
– per la Commissione europea, da S.L. Kalėda, H. Kranenborg e P.‑J. Loewenthal, in qualità di agenti,
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 28 aprile 2022,
ha pronunciato la seguente
Sentenza
1 La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 12, paragrafo 2, in combinato disposto con l’articolo 2, secondo comma, lettera f), della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU 2002, L 201, pag. 37), come modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009 (GU 2009, L 337, pag. 11) (in prosieguo: la «direttiva 2002/58»), nonché dell’articolo 5, paragrafo 2, e degli articoli 17, 24 e 95 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, in prosieguo: il «RGDP»).
2 Tale domanda è stata presentata nell’ambito di una controversia tra la Proximus NV, società di diritto pubblico belga, e la Gegevensbeschermingsautoriteit (Autorità per la protezione dei dati, Belgio) (in prosieguo: l’«APD»), in merito alla decisione con la quale la Geschillenkamer van de Gegevensbeschermingsautoriteit (sezione del contenzioso dell’APD; in prosieguo: la «sezione del contenzioso») ha imposto alla Proximus talune misure correttive e irrogato un’ammenda pari a EUR 20 000 per violazione di varie disposizioni del RGPD.
Contesto normativo
Diritto dell’Unione
Direttiva 95/46/CE
3 L’articolo 2, lettera h), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31) così dispone:
«Ai fini della presente direttiva si intende per:
(...)
h) “consenso della persona interessata”: qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento».
Direttiva 2002/58
4 I considerando 10, 17, 38 e 39 della direttiva 2002/58 sono così formulati:
«(10) Nel settore delle comunicazioni elettroniche trova applicazione la direttiva 95/46/CE, in particolare per quanto riguarda tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali non specificamente disciplinati dalle disposizioni della presente direttiva, compresi gli obblighi del responsabile e i diritti delle persone fisiche. (...)
(...)
(17) Ai fini della presente direttiva il consenso dell’utente o dell’abbonato, senza considerare se quest’ultimo sia una persona fisica o giuridica, dovrebbe avere lo stesso significato del consenso della persona interessata come definito ed ulteriormente determinato nella direttiva 95/46/CE. Il consenso può essere fornito secondo qualsiasi modalità appropriata che consenta all’utente di esprimere liberamente e in conoscenza di causa i suoi desideri specifici, compresa la selezione di un’apposita casella nel caso di un sito Internet.
(...)
(38) Gli elenchi degli abbonati ai servizi di comunicazione elettronica sono pubblici ed ampiamente distribuiti. Il rispetto della vita privata delle persone fisiche e i legittimi interessi delle persone giuridiche postulano, per gli abbonati, il diritto di determinare se i loro dati personali possano essere pubblicati in un elenco e, in caso affermativo, quali. È opportuno che i fornitori di elenchi pubblici informino gli abbonati che vi figureranno degli scopi dell’elenco stesso e di ogni specifico impiego che possa essere fatto delle versioni elettroniche degli elenchi pubblici, in particolare mediante le funzioni di ricerca incorporate nel software, come ad esempio le funzioni di ricerca inversa che consentono agli utenti dell’elenco di risalire al nome e all’indirizzo dell’abbonato in base al solo numero telefonico.
(39) L’obbligo di informare gli abbonati sugli scopi di elenchi pubblici in cui i loro dati personali devono essere inclusi dovrebbe essere imposto alla parte che raccoglie i dati per tale inclusione. Se i dati possono essere trasmessi a uno o più terzi, l’abbonato dovrebbe essere informato su questa possibilità e sul ricevente o sulle categorie di possibili riceventi. Le trasmissioni dovrebbero essere soggette alla condizione che i dati non possono essere usati per scopi diversi da quelli per cui sono stati raccolti. Se la parte che raccoglie i dati dall’abbonato o i terzi a cui i dati sono stati trasmessi desiderano usarli per uno scopo ulteriore, la parte che ha raccolto i dati in origine o il terzo a cui i dati sono stati trasmessi deve ottenere nuovamente il consenso dell’abbonato».
5 L’articolo 1 della suddetta direttiva così prevede:
«1. La presente direttiva prevede l’armonizzazione delle disposizioni nazionali necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno della Comunità.
2. Ai fini di cui al paragrafo 1, le disposizioni della presente direttiva precisano e integrano la direttiva 95/46/CE. Esse prevedono inoltre la tutela dei legittimi interessi degli abbonati che sono persone giuridiche.
(…)».
6 Ai sensi dell’articolo 2, secondo comma, lettera f), di detta direttiva, intitolato «Definizioni»:
«Si applicano inoltre le seguenti definizioni:
(…)
f) “consenso” dell’utente o dell’abbonato: corrisponde al consenso della persona interessata di cui alla direttiva 95/46/CE».
7 L’articolo 12 della stessa direttiva, intitolato «Elenchi di abbonati», ha il seguente tenore:
«1. Gli Stati membri assicurano che gli abbonati siano informati, gratuitamente e prima di essere inseriti nell’elenco, in merito agli scopi degli elenchi cartacei o elettronici a disposizione del pubblico o ottenibili attraverso i servizi che forniscono informazioni sugli elenchi, nei quali possono essere inclusi i loro dati personali, nonché in merito ad ogni ulteriore possibilità di utilizzo basata su funzioni di ricerca incorporate nelle versioni elettroniche degli elenchi stessi.
2. Gli Stati membri assicurano che gli abbonati abbiano la possibilità di decidere se i loro dati personali – e, nell’affermativa, quali – debbano essere riportati in un elenco pubblico, sempreché tali dati siano pertinenti per gli scopi dell’elenco dichiarati dal suo fornitore. Gli Stati membri provvedono affinché gli abbonati abbiano le possibilità di verificare, rettificare o ritirare tali dati. Il fatto che i dati non siano riportati in un elenco pubblico di abbonati la verifica, la correzione o il ritiro dei dati non devono comportare oneri.
3. Gli Stati membri possono disporre che sia chiesto il consenso ulteriore degli abbonati per tutti gli scopi di un elenco pubblico diversi dalla ricerca di dati su persone sulla base del loro nome e, ove necessario, di un numero minimo di altri elementi di identificazione.
(…)».
RGPD
8 I considerando 42, 66 e 173 del RGPD così recitano:
«(42) Per i trattamenti basati sul consenso dell’interessato, il titolare del trattamento dovrebbe essere in grado di dimostrare che l’interessato ha acconsentito al trattamento. In particolare, nel contesto di una dichiarazione scritta relativa a un’altra questione dovrebbero esistere garanzie che assicurino che l’interessato sia consapevole del fatto di esprimere un consenso e della misura in cui ciò avviene. (…) è opportuno prevedere una dichiarazione di consenso predisposta dal titolare del trattamento in una forma comprensibile e facilmente accessibile, che usi un linguaggio semplice e chiaro e non contenga clausole abusive. Ai fini di un consenso informato, l’interessato dovrebbe essere posto a conoscenza almeno dell’identità del titolare del trattamento e delle finalità del trattamento cui sono destinati i dati personali. Il consenso non dovrebbe essere considerato liberamente espresso se l’interessato non è in grado di operare una scelta autenticamente libera o è nell’impossibilità di rifiutare o revocare il consenso senza subire pregiudizio.
(…)
(66) Per rafforzare il “diritto all’oblio” nell’ambiente online, è opportuno che il diritto di cancellazione sia esteso in modo tale da obbligare il titolare del trattamento che ha pubblicato dati personali a informare i titolari del trattamento che trattano tali dati personali di cancellare qualsiasi link verso tali dati personali o copia o riproduzione di detti dati personali. Nel fare ciò, è opportuno che il titolare del trattamento adotti misure ragionevoli tenendo conto della tecnologia disponibile e dei mezzi a disposizione del titolare del trattamento, comprese misure tecniche, per informare della richiesta dell’interessato i titolari del trattamento che trattano i dati personali.
(…)
(173) È opportuno che il presente regolamento si applichi a tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali con riguardo al trattamento dei dati personali che non rientrino in obblighi specifici, aventi lo stesso obiettivo, di cui alla direttiva 2002/58/CE (…), compresi gli obblighi del titolare del trattamento e i diritti delle persone fisiche. Per chiarire il rapporto tra il presente regolamento e la 2002/58/CE, è opportuno modificare quest’ultima di conseguenza. Una volta adottato il presente regolamento, la direttiva 2002/58/CE, dovrebbe essere riesaminata in particolare per assicurare la coerenza con il presente regolamento».
9 L’articolo 4, punti 2, 7 e 11, del medesimo regolamento è formulato nei seguenti termini:
«Ai fini del presente regolamento s’intende per:
(…)
2) “trattamento” qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;
(…)
7) “titolare del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; (…)
(…)
11) “consenso dell’interessato” qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento».
10 L’articolo 5 del RGPD, intitolato «Principi applicabili al trattamento di dati personali», così prevede:
«1. I dati personali sono:
a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);
(…)
2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)».
11 L’articolo 6 del RGPD, rubricato «Liceità del trattamento», prevede quanto segue:
«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a) l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
(…)».
12 L’articolo 7 del RGPD, intitolato «Condizioni per il consenso» così recita:
«1. Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali.
(…)
3. L’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basat[o] sul consenso prima della revoca. Prima di prestare il proprio consenso, l’interessato è informato di ciò. Il consenso è revocato con la stessa facilità con cui è accordato.
(…)».
13 L’articolo 16 del RGPD, rubricato «Diritto di rettifica», così dispone:
«L’interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l’interessato ha il diritto di ottenere l’integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa».
14 L’articolo 17 del RGPD, intitolato «Diritto alla cancellazione (“diritto all’oblio”), è così formulato:
«1. L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
(…)
b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
(…)
d) i dati personali sono stati trattati illecitamente;
2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
(…)».
15 L’articolo 19 del RGPD, rubricato «Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento», così dispone:
«Il titolare del trattamento comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate a norma dell’articolo 16, dell’articolo 17, paragrafo 1, e dell’articolo 18, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. Il titolare del trattamento comunica all’interessato tali destinatari qualora l’interessato lo richieda».
16 L’articolo 24 del RGPD, rubricato «Responsabilità del titolare del trattamento», prevede quanto segue:
«1. Tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.
2. Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l’attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.
(…)».
17 L’articolo 94 del RGPD, intitolato «Abrogazione della direttiva 95/46/CE», al paragrafo 2 enuncia quanto segue:
«I riferimenti alla direttiva abrogata si intendono fatti al presente regolamento. (…)».
18 L’articolo 95 del RGPD, rubricato «Rapporto con la direttiva 2002/58/CE», così dispone:
«Il presente regolamento non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell’Unione [europea], per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla direttiva 2002/58/CE».
Diritto belga
19 L’articolo 133 della wet betreffende de elektronische communicatie (legge sulle comunicazioni elettroniche), del 13 giugno 2005 (Belgisch Staatsblad, 20 giugno 2005, pag. 28070), che garantisce la trasposizione nel diritto belga dell’articolo 12 della direttiva 2002/58, è così formulato:
Ǥ 1.I fornitori di un servizio telefonico accessibile al pubblico informano i loro abbonati gratuitamente e prima di iscriverli in un elenco telefonico o in un servizio di consultazione degli elenchi telefonici, riguardo:
1º alla funzione dell’elenco telefonico o del servizio di consultazione degli elenchi telefonici;
2º alla gratuità dell’inserimento nell’elenco telefonico o nel servizio di consultazione degli elenchi telefonici;
3º se del caso, alle applicazioni dell’elenco telefonico o del servizio di consultazione degli elenchi telefonici che si discostano dalla ricerca di dati personali sulla base del nome e, eventualmente, del domicilio, della residenza o del luogo di stabilimento dell’abbonato.
Nell’elenco o nel servizio di consultazione di cui trattasi possono comparire solo i dati personali pertinenti rispetto alla funzione comunicata conformemente al comma 1, e riguardo ai quali l’abbonato in questione ha comunicato che potevano comparire nell’elenco o nel servizio di consultazione di cui trattasi.
A tal fine, l’operatore pone due questioni distinte all’abbonato:
1º se desidera che i suoi dati siano inclusi nell’elenco universale e nel servizio di consultazione universale;
2º se desidera che i suoi recapiti siano inclusi in altri elenchi telefonici o in altri servizi di consultazione.
(…)
§ 2. Ogni abbonato ha il diritto di consultare i dati personali che lo riguardano conformemente alle condizioni stabilite dalla legge dell’8 dicembre 1992 sulla tutela della vita privata con riguardo ai trattamenti di dati personali, o in attuazione della stessa legge.
Ogni abbonato ha inoltre il diritto di far rettificare o far eliminare gratuitamente dall’elenco telefonico o dal servizio di consultazione degli elenchi telefonici, i dati personali che lo riguardano secondo le procedure e le condizioni stabilite dal Re previo parere della Commissione sulla tutela della vita privata e dell’Istituto».
20 L’articolo 45, paragrafo 2, di detta legge impone agli operatori di servizi telefonici l’obbligo di mettere a disposizione dei fornitori di elenchi telefonici pubblici i dati relativi ai loro abbonati. In forza dell’articolo 45, paragrafo 3, della medesima legge, tali operatori isolano i dati relativi agli abbonati che hanno chiesto di non comparire in un elenco telefonico, in modo che tali abbonati possano ricevere l’elenco telefonico senza che i loro dati compaiano in esso.
Procedimento principale e questioni pregiudiziali
21 La Proximus, un fornitore di servizi di telecomunicazioni in Belgio, fornisce anche elenchi telefonici pubblici e servizi di consultazione degli elenchi telefonici accessibili al pubblico (in prosieguo: gli «elenchi telefonici»), conformemente alle disposizioni della legge sulle comunicazioni elettroniche. Tali elenchi contengono il nome, l’indirizzo e il numero di telefono (in prosieguo: i «dati di contatto») degli abbonati dei diversi fornitori di servizi telefonici accessibili al pubblico (in prosieguo: gli «operatori»). Esistono altri elenchi telefonici, pubblicati da terzi.
22 I dati di contatto di tali abbonati sono comunicati regolarmente alla Proximus dagli operatori, ad eccezione dei dati degli abbonati che hanno espresso il desiderio di non comparire negli elenchi pubblicati dalla Proximus. In Belgio la distinzione tra gli abbonati che desiderano comparire in un elenco telefonico e quelli che non lo desiderano si traduce, in pratica, nell’assegnazione di un parametro nella registrazione di ciascun abbonato, ossia «NNNNN» per gli abbonati i cui dati di contatto possono comparire e «XXXXX» per gli abbonati i cui dati di contatto restano riservati. La Proximus trasmette altresì i dati di contatto che essa riceve ad un altro fornitore di elenchi telefonici.
23 Il denunciante è un abbonato dell’operatore di servizi telefonici Telenet, attivo nel mercato belga. Telenet non fornisce elenchi telefonici, ma trasmette i dati di contatto dei suoi abbonati a fornitori di elenchi telefonici, in particolare alla Proximus.
24 Il 13 gennaio 2019, tale abbonato ha chiesto alla Proximus di non far comparire i suoi dati di contatto negli elenchi telefonici pubblicati sia dalla Proximus sia da terzi. A seguito di tale domanda, la Proximus ha modificato lo status di tale abbonato nel suo sistema informatico, affinché i dati di contatto di detto abbonato non fossero più resi pubblici.
25 Il 31 gennaio 2019 la Proximus ha ricevuto da Telenet un aggiornamento periodico dei dati degli abbonati di quest’ultimo operatore. Tale aggiornamento conteneva nuovi dati dell’abbonato di cui trattasi, che non erano indicati come riservati. Tali informazioni sono state oggetto di un trattamento automatizzato da parte della Proximus e sono state registrate cosicché esse comparivano nuovamente negli elenchi telefonici di quest’ultima.
26 Il 14 agosto 2019, dopo aver constatato che il suo numero di telefono era stato pubblicato negli elenchi telefonici della Proximus e di terzi, tale abbonato ha nuovamente chiesto alla Proximus di non far comparire in essi i suoi dati. Lo stesso giorno, la Proximus ha risposto al denunciante che essa aveva eliminato i suoi dati dagli elenchi e che aveva contattato Google affinché venissero eliminati i link pertinenti verso il sito Internet della Proximus. La Proximus ha altresì informato detto abbonato del fatto che essa aveva trasmesso i suoi dati di contatto ad altri fornitori di elenchi telefonici e che, grazie agli aggiornamenti mensili, tali fornitori erano stati informati della richiesta del denunciante.
27 Allo stesso tempo, detto abbonato ha presentato una denuncia all’APD contro la Proximus, in quanto, nonostante la sua richiesta di non far comparire i suoi dati di contatto negli elenchi telefonici, il suo numero di telefono appariva comunque in alcuni di tali elenchi telefonici.
28 Il 5 settembre 2019, l’abbonato di cui trattasi e la Proximus hanno nuovamente avuto scambi di corrispondenza riguardo alla pubblicazione dei dati di tale abbonato nell’elenco di un terzo. In tale contesto, la Proximus ha sottolineato che essa trasmette i dati di contatto dei suoi abbonati ad altri fornitori di elenchi telefonici, ma che non è affatto al corrente riguardo alle procedure di funzionamento interno di tali fornitori.
29 Il 30 luglio 2020, a seguito di un procedimento in contraddittorio, la sezione del contenzioso ha adottato una decisione con la quale ha imposto alla Proximus misure correttive e le ha inflitto un’ammenda di importo pari a EUR 20 000 per violazione, in particolare, dell’articolo 6 del RGPD, in combinato disposto con l’articolo 7 di tale regolamento, e dell’articolo 5, paragrafo 2, di detto regolamento in combinato disposto con l’articolo 24 dello stesso. In particolare, essa ha anzitutto ordinato alla Proximus di dare un seguito appropriato ed immediato alla revoca del consenso da parte dell’abbonato di cui trattasi e di conformarsi alle richieste di tale abbonato volte all’esercizio del suo diritto alla cancellazione dei dati che lo riguardano. Essa ha poi ordinato alla Proximus di adottare misure tecniche e organizzative adeguate per assicurarsi che i trattamenti dei dati personali da essa effettuati siano conformi alle disposizioni del RGPD. Infine, essa ha intimato alla Proximus di cessare di trasmettere illecitamente tali dati ad altri fornitori di elenchi telefonici.
30 Il 28 agosto 2020 la Proximus ha proposto ricorso avverso tale decisione dinanzi allo hof van beroep te Brussel (Corte d’appello di Bruxelles, Belgio).
31 Secondo la Proximus, conformemente all’articolo 45, paragrafo 3, della legge sulle comunicazioni elettroniche, non è richiesto il consenso dell’abbonato, ma sono gli abbonati stessi che devono chiedere di non figurare negli elenchi telefonici, secondo un sistema cosiddetto di «opt-out». In mancanza di una domanda del genere, l’abbonato di cui trattasi può effettivamente comparire in tali elenchi telefonici. Pertanto, secondo la Proximus, nel caso di specie, non è necessario, da parte dell’abbonato, alcun «consenso», ai sensi della direttiva 95/46 o ai sensi del RGPD.
32 Di parere opposto, l’APD ha sostenuto, in sostanza, che l’articolo 12, paragrafo 2, della direttiva 2002/58 e l’articolo 133, paragrafo 1, della legge sulle comunicazioni elettroniche richiedono il «consenso degli abbonati», ai sensi del RGPD, affinché i fornitori di elenchi telefonici possano trattare e trasmettere i loro dati personali.
33 Il giudice del rinvio ritiene che la direttiva 2002/58 costituisca una lex specialis rispetto al RGPD, come confermerebbero il considerando 173 e l’articolo 95 del RGPD. Di conseguenza, nelle situazioni in cui la direttiva 2002/58 precisa le norme del RGPD, le disposizioni specifiche di tale direttiva prevalgono, in quanto lex specialis, sulle disposizioni più generali del RGPD.
34 In tale contesto, il giudice del rinvio osserva che l’articolo 12, paragrafo 2, della direttiva 2002/58 e l’articolo 133, paragrafo 1, della legge sulle comunicazioni elettroniche, pur richiedendo un’espressione di volontà degli abbonati affinché i fornitori di elenchi telefonici possano trattare i loro dati personali, non precisano se tale manifestazione di volontà debba tradursi nell’esercizio di un diritto di opzione, come sostenuto dalla Proximus, o nella manifestazione di un vero e proprio consenso, ai sensi del RGPD, come indicato dall’APD. Su tale punto, il giudice del rinvio sottolinea che la giurisprudenza della Corte, in particolare la sentenza del 5 maggio 2011, Deutsche Telekom (C‑543/09, EU:C:2011:279, punto 61), ha stabilito che, come risulta da un’interpretazione contestuale e sistematica dell’articolo 12 della direttiva 2002/58, l’espressione di volontà in questione corrisponde a un «consenso» che riguarda lo scopo della pubblicazione dei dati personali in un elenco telefonico pubblico e non già l’identità di uno specifico fornitore di elenchi telefonici.
35 Inoltre, dato che non è stato elaborato alcun regime specifico per la revoca di tale espressione di volontà o di tale «consenso» da parte di un abbonato, né nella direttiva 2002/58, né nella legge sulle comunicazioni elettroniche, né in un decreto di esecuzione, il giudice del rinvio si chiede se debbano applicarsi automaticamente e senza restrizioni tutte le disposizioni del RGPD anche nel contesto particolare degli elenchi telefonici.
36 In tali circostanze, lo hof van beroep te Brussel (Corte d’appello di Bruxelles, Belgio) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1) Se l’articolo 12, paragrafo 2, della direttiva 2002/58/CE, in combinato disposto con l’articolo 2, lettera f), di tale direttiva e con l’articolo 95 del [RGPD], debba essere interpretato nel senso che esso consente che un’autorità di controllo nazionale esiga un “consenso” dell’abbonato, ai sensi del [RGPD], come fondamento per la pubblicazione dei dati personali del medesimo in elenchi telefonici e servizi d’informazione telefonici pubblici, pubblicati sia dall’operatore medesimo che da fornitori terzi, in mancanza di una diversa normativa nazionale in materia.
2) Se il diritto alla cancellazione dei dati, di cui all’articolo 17 del [RGPD], debba essere interpretato nel senso che esso osta a che un’autorità di controllo nazionale qualifichi una domanda di un abbonato di essere cancellato da elenchi telefonici e servizi d’informazione telefonici pubblici come una “richiesta di cancellazione dei dati”, ai sensi dell’articolo 17 del [RGPD].
3) Se gli articoli 24 e 5, paragrafo 2, del [RGPD] debbano essere interpretati nel senso che essi ostano a che un’autorità di controllo nazionale desuma dalla responsabilizzazione in esso sancita che il titolare del trattamento debba adottare le misure tecniche e organizzative adeguate per informare i terzi titolari del trattamento – ossia il fornitore di servizi telefonici e altri fornitori di elenchi telefonici e di servizi d’informazione telefonici che hanno ricevuto dati dal primo titolare del trattamento – della revoca del consenso da parte dell’interessato, ai sensi dell’articolo 6 in combinato disposto con l’articolo 7 del [RGPD].
4) Se l’articolo 17, paragrafo 2, del [RGPD], debba essere interpretato nel senso che esso osta a che un’autorità di controllo nazionale intimi a un fornitore di elenchi telefonici e di servizi d’informazione telefonici pubblici, a cui sia richiesto di non pubblicare più i dati di una persona, di adottare misure ragionevoli per informare i motori di ricerca di detta richiesta».
Sulle questioni pregiudiziali
Sulla prima questione
37 La Proximus fa valere che il procedimento principale non riguarda la pubblicazione, da parte di un operatore di servizi telefonici, di elenchi telefonici contenenti dati personali, cosicché la prima questione pregiudiziale dovrebbe essere considerata irricevibile nella parte in cui verte su un caso di specie di tal genere.
38 Secondo una giurisprudenza costante, le questioni relative all’interpretazione del diritto dell’Unione poste dal giudice nazionale nel quadro normativo e fattuale che questi definisce sotto la propria responsabilità, e di cui non spetta alla Corte verificare l’esattezza, beneficiano di una presunzione di rilevanza. La Corte può rifiutare di pronunciarsi su una domanda di pronuncia pregiudiziale sollevata da un giudice nazionale solo quando risulta manifestamente che l’interpretazione del diritto dell’Unione richiesta non ha alcuna relazione con la realtà effettiva o con l’oggetto della controversia di cui al procedimento principale, quando il problema è di natura ipotetica oppure quando la Corte non dispone degli elementi di fatto e di diritto necessari per fornire una risposta utile alle questioni che le vengono sottoposte (sentenza del 1° agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punto 48 e giurisprudenza ivi citata).
39 Nel caso di specie, la controversia all’origine del procedimento principale oppone unicamente una persona fisica a una società, che non è il suo operatore di servizi telefonici, riguardo al modo in cui tale società ha trattato i dati personali di tale persona nell’ambito della pubblicazione di elenchi telefonici. Ne consegue che la prima questione è irricevibile nei limiti in cui è diretta ad interpretare i requisiti derivanti dall’articolo 12, paragrafo 2, della direttiva 2002/58 per il caso in cui sia l’operatore di servizi telefonici di tale persona a pubblicare, esso stesso, i suoi dati personali negli elenchi telefonici.
40 Da quanto precede risulta che, con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l’articolo 12, paragrafo 2, della direttiva 2002/58, in combinato disposto con l’articolo 2, secondo comma, lettera f), di tale direttiva e con l’articolo 95 del RGPD, debba essere interpretato nel senso che è richiesto il «consenso», ai sensi dell’articolo 4, punto 11, del RGPD, dell’abbonato di un operatore di servizi telefonici affinché i dati personali di tale abbonato siano inclusi negli elenchi pubblicati da fornitori diversi da tale operatore.
41 Al fine di rispondere a tale questione, occorre ricordare che, ai sensi del suo articolo 1, paragrafo 1, la direttiva 2002/58 prevede, segnatamente, l’armonizzazione delle disposizioni nazionali necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, e in particolare del diritto alla vita privata e alla riservatezza, relativamente al trattamento dei dati personali nel settore delle comunicazioni elettroniche.
42 A tal proposito si deve anzitutto ricordare che dall’articolo 12, paragrafo 1, della suddetta direttiva nonché dal considerando 38 della stessa si evince che, prima di essere inseriti negli elenchi telefonici pubblici, gli abbonati sono informati in merito agli scopi per cui essi sono compilati, nonché in merito ad ogni ulteriore utilizzo particolare che ne possa essere fatto, segnatamente con l’ausilio di funzioni di ricerca incorporate nelle versioni elettroniche degli stessi elenchi.
43 Il considerando 39 di tale direttiva precisa, poi, in relazione all’obbligo di informazione previa degli abbonati ai sensi dell’articolo 12, paragrafo 1, della stessa direttiva, che «[s]e i dati [personali] possono essere trasmessi a uno o più terzi, l’abbonato dovrebbe essere informato su questa possibilità e sul ricevente o sulle categorie di possibili riceventi».
44 L’abbonato, dopo aver ottenuto le informazioni di cui all’articolo 12, paragrafo 1, della direttiva 2002/58, può, come risulta dal paragrafo 2 del medesimo articolo, decidere se i propri dati personali – e, in caso affermativo, quali – debbano essere riportati in un elenco telefonico pubblico.
45 Come la Corte ha già dichiarato, siffatta previa informazione consente all’abbonato di prestare un consenso alla pubblicazione, in elenchi telefonici pubblici, di dati personali che lo riguardano, giacché un consenso del genere è necessario ai fini di tale pubblicazione (v., in tal senso, sentenza del 5 maggio 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, punti 54 e 58).
46 L’obbligo di ottenere il consenso dell’abbonato interessato, ai fini della pubblicazione di tali dati negli elenchi telefonici, è confermato dall’articolo 12, paragrafo 3, della direttiva 2002/58, ai sensi del quale gli Stati membri possono richiedere che «sia chiesto il consenso ulteriore degli abbonati» per tutti gli scopi di un elenco telefonico pubblico diversi dalla semplice ricerca di dati di una persona sulla base del suo nome.
47 Tuttavia, come la Corte ha precisato, da un’interpretazione contestuale e sistematica dell’articolo 12 della direttiva 2002/58 risulta che il consenso di cui al paragrafo 2 di tale articolo riguarda lo scopo della pubblicazione dei dati personali in un elenco telefonico pubblico e non già l’identità di uno specifico fornitore. Pertanto, qualora abbia acconsentito a che i propri dati siano pubblicati in un elenco telefonico avente uno scopo particolare, tale abbonato non avrà, di regola, interesse ad opporsi alla pubblicazione degli stessi dati in un altro elenco simile (sentenza del 5 maggio 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, punti 61 e 62).
48 A tal riguardo, il considerando 39 della suddetta direttiva conferma che le trasmissioni di dati personali degli abbonati a terzi sono consentite se «soggette alla condizione che i dati non poss[a]no essere usati per scopi diversi da quelli per cui sono stati raccolti».
49 Ne consegue che quando un abbonato sia stato informato da un operatore di servizi telefonici, quale Telenet, della possibilità della trasmissione dei dati personali che lo riguardano ad un’impresa terza, quale Proximus o altri terzi, per essere inseriti in un elenco telefonico pubblico, e abbia acconsentito alla pubblicazione di tali dati in un elenco telefonico del genere, la trasmissione da parte di tale operatore o di tale impresa degli stessi dati ad un’altra impresa allo scopo di pubblicare un elenco telefonico pubblico, cartaceo o elettronico, o di rendere siffatti elenchi consultabili attraverso servizi di consultazione, non deve essere nuovamente oggetto di un consenso da parte del suddetto abbonato, qualora venga garantito che i dati in questione non saranno usati per scopi diversi da quelli per cui sono stati raccolti al fine della loro prima pubblicazione. Infatti, il consenso, ai sensi dell’articolo 12, paragrafo 2, della direttiva 2002/58, di un abbonato debitamente informato, all’inserimento dei dati personali che lo riguardano in un elenco telefonico pubblico, attiene allo scopo di tale pubblicazione e si estende pertanto a qualunque ulteriore trattamento di tali dati da parte di imprese terze attive nel mercato della fornitura di elenchi telefonici e di servizi di consultazione accessibili al pubblico, purché un simile trattamento persegua la medesima finalità (sentenza del 5 maggio 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, punto 65).
50 Per contro, come enunciato dal considerando 39 di tale direttiva, se la parte che raccoglie i dati dall’abbonato o i terzi a cui i dati sono stati trasmessi desiderano usarli per uno scopo ulteriore, la parte che ha raccolto i dati in origine o il terzo a cui i dati sono stati trasmessi deve ottenere nuovamente il consenso dell’abbonato.
51 Per quanto riguarda le modalità secondo le quali un consenso siffatto deve essere manifestato, risulta dall’articolo 2, secondo comma, lettera f), della direttiva 2002/58, in combinato disposto con l’articolo 94, paragrafo 2, e l’articolo 95 del RGPD, che tale consenso deve, in linea di principio, soddisfare i requisiti risultanti dall’articolo 4, punto 11, di tale regolamento.
52 Nel caso di specie, l’articolo 4, punto 11, del RGPD, che costituisce la disposizione applicabile ai fatti di cui al procedimento principale, definisce il «consenso dell’interessato» nel senso che esso richiede una manifestazione di volontà «libera, specifica, informata e inequivocabile» dell’interessato nella forma di una dichiarazione o di un’«azione positiva inequivocabile» che manifesta la sua accettazione del trattamento dei dati personali che lo riguardano.
53 Ne consegue che è necessario un consenso di tal genere affinché i dati personali relativi all’abbonato di un operatore di servizi telefonici possano comparire negli elenchi telefonici.
54 Di conseguenza, la pubblicazione dei dati personali relativi all’abbonato in questione in elenchi telefonici, come quelli pubblicati dalla Proximus o da altri fornitori, potrebbe essere considerata lecita, ai sensi dell’articolo 6, paragrafo 1, lettera a), del RGPD, solo in presenza di un consenso di tal genere, prestato espressamente all’operatore di servizi telefonici o a uno di tali fornitori di elenchi telefonici.
55 Ciò premesso, come ricordato al punto 49 della presente sentenza, un consenso di tal genere non presuppone che, alla data in cui esso è prestato, la persona interessata conosca necessariamente l’identità di tutti i fornitori di elenchi telefonici che tratteranno i suoi dati personali.
56 Alla luce delle considerazioni che precedono, occorre rispondere alla prima questione dichiarando che l’articolo 12, paragrafo 2, della direttiva 2002/58, in combinato disposto con l’articolo 2, secondo comma, lettera f), di tale direttiva e con l’articolo 95 del RGPD, deve essere interpretato nel senso che è richiesto il «consenso», ai sensi dell’articolo 4, punto 11, di tale regolamento, dell’abbonato di un operatore di servizi telefonici affinché i dati personali di tale abbonato siano inclusi negli elenchi telefonici, pubblicati da fornitori diversi da tale operatore, consenso che può, tuttavia, essere dato o a detto operatore o a uno di tali fornitori.
Sulla seconda questione
57 Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l’articolo 17 del RGPD debba essere interpretato nel senso che la richiesta di un abbonato diretta all’eliminazione dei suoi dati personali dagli elenchi costituisca un esercizio del «diritto alla cancellazione», ai sensi di tale articolo.
58 Occorre anzitutto rilevare che la Proximus sostiene che l’articolo 17 del RGPD non è applicabile a un fornitore di elenchi telefonici che, come nel caso di specie, non è l’operatore di servizi telefonici dell’abbonato e che una richiesta, come quella menzionata al punto precedente della presente sentenza, dovrebbe, tutt’al più, essere considerata come una domanda di rettifica, ai sensi dell’articolo 16 di tale regolamento, cosicché la seconda questione pregiudiziale sarebbe irricevibile in quanto irrilevante ai fini del procedimento principale.
59 Tuttavia, gli argomenti così dedotti da tale parte riguardano, in sostanza, l’ambito di applicazione nonché la portata e, pertanto, l’interpretazione delle disposizioni del diritto dell’Unione sulle quali verte la seconda questione. Orbene, argomenti di questo tipo, che riguardano il merito della questione sollevata, non possono, per loro stessa natura, condurre ad un’irricevibilità della questione (sentenza del 13 gennaio 2022, Minister Sprawiedliwości, C‑55/20, EU:C:2022:6, punto 83).
60 Ne consegue che la seconda questione pregiudiziale è ricevibile.
61 In primo luogo, occorre sottolineare che, in forza dell’articolo 12, paragrafo 2, seconda frase, della direttiva 2002/58, gli abbonati devono avere la possibilità, in particolare, di far eliminare dagli elenchi telefonici pubblici i dati personali che li riguardano.
62 Ciò premesso, la concessione di una tale possibilità per gli abbonati non costituisce, in capo ai fornitori di elenchi telefonici, un obbligo specifico, ai sensi dell’articolo 95 del RGPD, che consentirebbe di escludere l’applicazione delle disposizioni pertinenti di tale regolamento. Come rilevato in sostanza dall’avvocato generale al paragrafo 54 delle sue conclusioni, la direttiva 2002/58 non contiene, infatti, alcuna altra indicazione quanto alle modalità, all’attuazione e alle conseguenze delle richieste dirette ad ottenere l’eliminazione dei dati personali. Pertanto, come risulta, peraltro, dal considerando 10 di tale direttiva, in combinato disposto con l’articolo 94 del suddetto regolamento, in una fattispecie del genere sono applicabili le disposizioni del RGPD.
63 In secondo luogo, dall’articolo 17, paragrafo 1, lettere b) e d), del RGPD risulta che l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione di dati personali che lo riguardano e che il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo tali dati quando l’interessato «revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), (...) e se non sussiste altro fondamento giuridico per il trattamento» o quando «i dati personali sono stati trattati illecitamente».
64 A tal riguardo, da un lato, dalla risposta data alla prima questione pregiudiziale risulta che la pubblicazione dei dati personali di un abbonato negli elenchi telefonici si basa sul consenso di tale abbonato.
65 Dall’altro lato, dall’articolo 6, paragrafo 1, lettera a), e dall’articolo 7, paragrafo 3, del RGPD risulta che un tale consenso costituisce una delle condizioni necessarie che permettono di concludere nel senso della liceità del trattamento dei dati personali dell’abbonato di cui trattasi e che detto consenso può essere revocato in qualsiasi momento e secondo modalità altrettanto semplici quanto quelle che hanno consentito alla persona interessata di prestare tale consenso.
66 Nel caso di specie, quando l’abbonato richiede che i suoi dati non compaiano più in un elenco telefonico, esso revoca il proprio consenso alla pubblicazione di tali dati. In base alla revoca del suo consenso, egli ottiene, in assenza di altro fondamento giuridico per un trattamento del genere, il diritto di chiedere la cancellazione dei suoi dati personali da tale elenco telefonico, a norma dell’articolo 17, paragrafo 1, lettera b), del RGPD o, nel caso in cui il titolare del trattamento continui a pubblicare detti dati illecitamente, a norma dell’articolo 17, paragrafo 1, lettera d), di tale regolamento.
67 Ciò premesso, si deve ritenere che la richiesta di un abbonato diretta all’eliminazione dei suoi dati personali dagli elenchi telefonici possa essere considerata come un esercizio del «diritto alla cancellazione» di tali dati, ai sensi dell’articolo 17 del RGPD.
68 Tale conclusione non può essere rimessa in discussione dall’argomento sollevato dalla Proximus secondo cui una domanda del genere dovrebbe essere considerata diretta a consentire a tale abbonato di esercitare il suo diritto di ottenere dal responsabile del trattamento la rettifica dei dati personali che lo riguardano, ai sensi dell’articolo 16 del RGPD. Ai sensi di tale disposizione, infatti, una rettifica di tal tipo è possibile quando i dati in questione sono inesatti ed essa mira a consentire alla persona interessata di ottenere che questi ultimi siano completati.
69 Orbene, nel caso di specie, una domanda di eliminazione dei dati di un abbonato che compaiono in un elenco telefonico non mira a sostituire dati inesatti con dati corretti o a completare dati incompleti, ma è tesa ad eliminare la pubblicazione di dati corretti.
70 Il fatto che una tale eliminazione si traduca, nel caso di specie, nella mera modifica del parametro attribuito all’abbonato interessato nella banca dati della Proximus, a partire dalla quale i dati personali di tale abbonato sono pubblicati negli elenchi telefonici, non può impedire che una richiesta di eliminazione dei dati personali contenuti in tali elenchi telefonici sia considerata una «richiesta di cancellazione» ai sensi dell’articolo 17 del RGPD. Come risulta, infatti, dal fascicolo di cui dispone la Corte la modalità di eliminazione prevista da detto operatore costituisce una misura di natura meramente tecnica o organizzativa che si rivela necessaria per dare seguito alla richiesta di cancellazione dei dati personali dell’interessato e per impedire la divulgazione di tali dati.
71 Alla luce delle considerazioni che precedono, occorre rispondere alla seconda questione dichiarando che l’articolo 17 del RGPD deve essere interpretato nel senso che la richiesta di un abbonato diretta all’eliminazione dei suoi dati personali dagli elenchi telefonici costituisce un esercizio del «diritto alla cancellazione», ai sensi di tale articolo.
Sulla terza questione
72 Con la sua terza questione, il giudice del rinvio chiede, in sostanza, se l’articolo 5, paragrafo 2, e l’articolo 24 del RGPD debbano essere interpretati nel senso che un’autorità nazionale di controllo può esigere che il fornitore di elenchi telefonici, in quanto responsabile del trattamento, adotti le misure tecniche e organizzative adeguate per informare i responsabili del trattamento terzi, ossia l’operatore di servizi telefonici che gli ha comunicato i dati personali del suo abbonato nonché gli altri fornitori di elenchi telefonici ai quali egli stesso ha fornito tali dati, della revoca del consenso di tale abbonato.
73 In via preliminare, occorre rilevare che, nel caso di specie, la Proximus ha trattato dati personali del denunciante, pubblicandoli e comunicandoli ad altri fornitori di elenchi telefonici. Telenet, operatore di servizi telefonici del denunciante, ha altresì trattato tali dati, in particolare trasmettendoli alla Proximus. Lo stesso vale per gli altri fornitori di elenchi telefonici, ai quali la Proximus ha trasmesso i dati di contatto del denunciante e che hanno pubblicati tali dati.
74 Occorre, inoltre, rilevare, da un lato, che, come ricordato al punto 20 della presente sentenza, sebbene la legge relativa alle comunicazioni elettroniche imponga agli operatori di servizi telefonici di trasmettere i dati relativi ai loro abbonati ai fornitori di elenchi telefonici pubblici, tali operatori devono tuttavia isolare i dati relativi agli abbonati che hanno chiesto di non comparire in un elenco telefonico, cosicché tali abbonati possano ricevere una copia di tale elenco telefonico senza che i loro dati vi figurino.
75 Dal fascicolo di cui dispone la Corte risulta che, in pratica, è generalmente presso il proprio operatore di servizi telefonici che l’abbonato acconsente a che i suoi dati personali siano pubblicati in un elenco telefonico, consenso che permette che tali dati siano trasferiti ad un terzo, fornitore di elenchi telefonici. Tale fornitore può, a sua volta, comunicare tali dati ad altri fornitori di elenchi telefonici, sulla base dello stesso consenso, in quanto tali titolari del trattamento costituiscono una catena, in cui ciascuno tratta in successione detti dati, in modo indipendente, sulla base di un unico e medesimo consenso.
76 Dall’altro lato, dal fascicolo di cui dispone la Corte risulta altresì che l’aggiornamento della banca dati della Proximus, diretto a dar seguito alla revoca del consenso da parte del denunciante, è stato cancellato allorché l’operatore di servizi telefonici di quest’ultimo ha trasmesso alla Proximus un nuovo elenco di dati relativi ai suoi abbonati, per la loro pubblicazione negli elenchi telefonici, che non teneva conto della revoca del consenso del denunciante presentata alla Proximus.
77 In tale contesto, si pone quindi la questione se un fornitore di elenchi telefonici, come la Proximus, quando un abbonato di un operatore di servizi telefonici revoca il suo consenso a comparire negli elenchi telefonici di tale fornitore, debba non solo aggiornare la propria banca dati per tener conto di tale revoca, ma debba altresì informare di tale revoca l’operatore di servizi telefonici che gli ha comunicato tali dati nonché gli altri fornitori di elenchi telefonici ai quali esso stesso ha trasmesso tali dati.
78 In primo luogo, occorre ricordare che l’articolo 6, paragrafo 1, lettera a), del RGPD prevede che un trattamento è lecito se e nella misura in cui l’interessato ha acconsentito al trattamento dei suoi dati personali per una o più finalità specifiche. Orbene, dalla decisione di rinvio emerge che il denunciante ha revocato il suo consenso, ai sensi dell’articolo 7, paragrafo 3, di tale regolamento, al trattamento dei suoi dati personali ai fini della loro pubblicazione in elenchi telefonici. A seguito di tale revoca, il trattamento di tali dati ai fini del loro inserimento negli elenchi telefonici pubblici, compreso quello che è effettuato per lo stesso scopo dagli operatori di servizi telefonici o da altri fornitori di elenchi telefonici che si basano sullo stesso consenso, non ha più alcuna base giuridica ed è quindi illecito alla luce dell’articolo 6, paragrafo 1, lettera a), di detto regolamento.
79 In secondo luogo, occorre ricordare che, conformemente all’articolo 5, paragrafo 1, lettera a), e paragrafo 2, del RGPD, il titolare del trattamento deve assicurarsi di essere in grado di dimostrare che i dati personali sono trattati in modo lecito, corretto e trasparente nei confronti dell’interessato.
80 Quanto all’articolo 24 del RGPD, esso esige che, tenuto conto dell’ambito di applicazione, del contesto e delle finalità del trattamento, il titolare del trattamento metta in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente a detto regolamento.
81 Come rilevato dall’avvocato generale al paragrafo 67 delle sue conclusioni, l’articolo 5, paragrafo 2, e l’articolo 24 del RGPD impongono obblighi generali di responsabilità e di conformità ai titolari del trattamento di dati personali. In particolare, tali disposizioni impongono ai titolari del trattamento di adottare le misure adeguate dirette a prevenire le eventuali violazioni delle norme previste dal RGPD a garanzia del diritto alla protezione dei dati.
82 In tale prospettiva, l’articolo 19 del RGPD prevede, in particolare, che il titolare del trattamento comunichi a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali cancellazioni di dati personali effettuate a norma dell’articolo 17, paragrafo 1, di tale regolamento, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato.
83 Orbene, dagli obblighi generali previsti all’articolo 5, paragrafo 2, e all’articolo 24 del RGPD, letti in combinato disposto con l’articolo 19 di quest’ultimo, discende che un titolare del trattamento di dati personali, come la Proximus, deve mettere in atto misure tecniche e organizzative adeguate per informare gli altri fornitori di elenchi telefonici ai quali ha fornito tali dati della revoca del consenso dell’interessato che gli è stata comunicata. In circostanze come quelle precisate al punto 76 della presente sentenza, tale titolare del trattamento deve altresì provvedere a informare l’operatore di servizi telefonici che gli ha comunicato tali dati personali affinché quest’ultimo adegui la lista dei dati personali che trasmette automaticamente a tale fornitore di elenchi telefonici e isoli i dati dei suoi abbonati che hanno manifestato la volontà di revocare il loro consenso a che tali dati siano resi pubblici.
84 Infatti, qualora, come nel caso di specie, diversi titolari del trattamento si basino sul consenso unico dell’interessato per trattare i dati personali di quest’ultimo per una stessa finalità, è sufficiente, affinché tale interessato revochi un tale consenso, che esso si rivolga ai fini della revoca richiesta ad uno qualsiasi dei titolari del trattamento che si basano su quello stesso consenso.
85 Come correttamente rilevato dalla Commissione, per garantire l’effettività del diritto di revocare il proprio consenso previsto all’articolo 7, paragrafo 3, del RGPD e far sì che il consenso dell’interessato sia strettamente connesso allo scopo per il quale è stato prestato, il titolare del trattamento, al quale l’interessato ha presentato la revoca del suo consenso al trattamento dei suoi dati personali, è effettivamente tenuto ad informare di tale revoca ogni persona che gli abbia trasmesso tali dati, nonché la persona cui esso abbia, a sua volta, trasmesso tali dati. I responsabili del trattamento così informati hanno poi, a loro volta, l’obbligo di trasmettere tali informazioni agli altri responsabili del trattamento ai quali essi hanno comunicato tali dati.
86 A tal riguardo, occorre anzitutto rilevare che un siffatto obbligo di informazione mira a prevenire qualsiasi eventuale violazione delle norme previste dal RGPD per assicurare il diritto alla protezione dei dati e fa quindi parte delle misure adeguate, ai sensi dell’articolo 24 di tale regolamento. Inoltre, come sottolineato dall’avvocato generale al paragrafo 68 delle sue conclusioni, esso si iscrive anche nell’obbligo previsto all’articolo 12, paragrafo 2, di tale regolamento, in forza del quale il titolare del trattamento è tenuto ad agevolare l’esercizio dei diritti dell’interessato ai sensi, in particolare, dell’articolo 17 di detto regolamento.
87 Occorre poi constatare che l’assenza di un siffatto obbligo di informazione per il titolare del trattamento riguardo alla revoca del consenso dell’interessato potrebbe rendere particolarmente difficile la revoca del consenso, poiché tale interessato potrebbe credere di essere tenuto a rivolgersi a ciascuno degli operatori. Un approccio del genere sarebbe dunque in contrasto con l’articolo 7, paragrafo 3, del RGPD, ai sensi del quale il consenso al trattamento dei dati personali è revocato con la stessa facilità con cui è stato accordato.
88 Infine, conformemente alla giurisprudenza ricordata al punto 49 della presente sentenza, il consenso, ai sensi dell’articolo 12, paragrafo 2, della direttiva 2002/58, di un abbonato debitamente informato alla pubblicazione in un elenco telefonico pubblico di dati personali che lo riguardano attiene allo scopo di tale pubblicazione e si estende pertanto a qualunque ulteriore trattamento di tali dati da parte di imprese terze attive nel mercato degli elenchi telefonici, sempre che tali trattamenti perseguano la medesima finalità.
89 Ne consegue che, come rilevato dall’avvocato generale al paragrafo 68 delle sue conclusioni, poiché un fornitore di elenchi telefonici può fondarsi sul consenso al trattamento dei dati che un abbonato ha concesso per tale scopo ad un altro fornitore o al proprio operatore telefonico, l’abbonato, per revocare il suo consenso, deve potersi rivolgere ad uno qualsiasi dei fornitori di elenchi telefonici o a tale operatore al fine di ottenere il ritiro dei suoi dati di contatto dagli elenchi telefonici pubblicati da tutti coloro che si sono basati sull’espressione unica del suo consenso.
90 Alla luce delle considerazioni che precedono, occorre rispondere alla terza questione dichiarando che l’articolo 5, paragrafo 2, e l’articolo 24 del RGPD devono essere interpretati nel senso che un’autorità di controllo nazionale può esigere che il fornitore di elenchi telefonici, in quanto titolare del trattamento, adotti le misure tecniche e organizzative adeguate per informare i titolari del trattamento terzi, vale a dire l’operatore di servizi telefonici che gli ha comunicato i dati personali del suo abbonato nonché gli altri fornitori di elenchi telefonici ai quali esso stesso ha fornito tali dati, della revoca del consenso di tale abbonato.
Sulla quarta questione
91 Con la sua quarta questione, il giudice del rinvio chiede, in sostanza, se l’articolo 17, paragrafo 2, del RGPD debba essere interpretato nel senso che esso osta a che un’autorità di controllo nazionale ordini a un fornitore di elenchi telefonici, al quale l’abbonato di un operatore di servizi telefonici ha chiesto di non pubblicare più i dati personali che lo riguardano, di adottare «misure ragionevoli», ai sensi di tale disposizione, al fine di informare i gestori dei motori di ricerca di tale domanda di cancellazione dei dati.
92 Al fine di rispondere a tale questione, occorre ricordare che l’articolo 17, paragrafo 2, del RGPD impone al titolare del trattamento che ha reso pubblici i dati personali, tenendo conto della tecnologia disponibile e dei costi di attuazione, di adottare le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando tali dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
93 Come risulta dal considerando 66 del RGPD, l’obiettivo di tale obbligo è il rafforzamento del diritto all’oblio nell’ambiente online e riguarda, in particolare, le informazioni messe a disposizione su Internet dai gestori dei motori di ricerca che trattano dati pubblicati online.
94 Nel caso di specie, è pacifico che la Proximus ha pubblicato, nel suo elenco telefonico, i dati personali del denunciante e che, pertanto, tale società deve essere considerata un titolare del trattamento che ha reso pubblici tali dati, ai sensi dell’articolo 17, paragrafo 2, del RGPD.
95 Occorre, inoltre, ricordare, da un lato, che, secondo una giurisprudenza costante, l’attività di un motore di ricerca consistente nel trovare informazioni pubblicate o inserite da terzi su Internet, nell’indicizzarle in modo automatico, nel memorizzarle temporaneamente e, infine, nel metterle a disposizione degli utenti di Internet secondo un determinato ordine di preferenza deve essere qualificata come «trattamento» di dati personali, ai sensi dell’articolo 4, punto 2, del RGPD, qualora tali informazioni contengano dati personali, e, dall’altro lato, che il gestore di detto motore di ricerca deve essere considerato come il «titolare» del trattamento summenzionato, ai sensi dell’articolo 4, punto 7 dello stesso regolamento, e pertanto anche dell’articolo 17, paragrafo 2, di esso [v., in tal senso, sentenza del 24 settembre 2019, GC e a. (Deindicizzazione di dati sensibili), C‑136/17, EU:C:2019:773, punto 35 e giurisprudenza ivi citata].
96 Pertanto, in circostanze come quelle di cui al procedimento principale, si deve ritenere che un titolare del trattamento, come la Proximus, sia tenuto, in forza dell’articolo 17, paragrafo 2, del RGPD, ad adottare misure ragionevoli al fine di informare i gestori dei motori di ricerca della richiesta che gli è stata rivolta dall’abbonato di un operatore di servizi telefonici e che è diretta alla cancellazione dei dati personali di tale abbonato. Ciò premesso, come ha rilevato l’avvocato generale al punto 76 delle sue conclusioni, per valutare la ragionevolezza delle misure adottate dal fornitore di elenchi telefonici, l’articolo 17, paragrafo 2, del RGPD prevede che si tenga conto della tecnologia disponibile e dei costi di attuazione; valutazione che incombe principalmente all’autorità competente per tali questioni e che può essere oggetto di controllo giurisdizionale.
97 Nel caso di specie, dalle osservazioni scritte presentate dall’APD, che non sono state contestate su tale punto dalle altre parti del presente procedimento, risulta che, nel corso del secondo trimestre del 2020, il numero di fornitori di motori di ricerca operanti in Belgio era limitato. In particolare, Google deteneva una quota di mercato compresa tra il 90%, per quanto riguarda le ricerche effettuate sui computer da scrivania, e il 99%, per quanto riguarda le ricerche effettuate sugli smartphone e sui tablet.
98 Inoltre, come indicato al punto 26 della presente sentenza, dal fascicolo di cui dispone la Corte risulta che, a seguito della richiesta dell’abbonato di non far comparire i propri dati negli elenchi telefonici di tale fornitore, la Proximus ha risposto di aver non solo eliminato tali dati dagli elenchi telefonici nonché dai servizi di consultazione degli elenchi telefonici, ma di aver altresì contattato Google affinché fossero eliminati i link rilevanti verso il sito Internet della Proximus.
99 Alla luce delle considerazioni che precedono, occorre rispondere alla quarta questione dichiarando che l’articolo 17, paragrafo 2, del RGPD deve essere interpretato nel senso che esso non osta a che un’autorità di controllo nazionale ordini a un fornitore di elenchi telefonici, al quale l’abbonato di un operatore di servizi telefonici ha chiesto di non pubblicare più i dati personali che lo riguardano, di adottare «misure ragionevoli», ai sensi di tale disposizione, al fine di informare i gestori dei motori di ricerca di tale richiesta di cancellazione dei dati.
Sulle spese
100 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Quarta Sezione) dichiara:
1) L’articolo 12, paragrafo 2, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche, come modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009, in combinato disposto con l’articolo 2, secondo comma, lettera f), della stessa direttiva e con l’articolo 95 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),
deve essere interpretato nel senso che:
è richiesto il «consenso», ai sensi dell’articolo 4, punto 11, di tale regolamento, dell’abbonato di un operatore di servizi telefonici affinché i dati personali di tale abbonato siano inclusi negli elenchi telefonici e nei servizi di consultazione degli elenchi telefonici accessibili al pubblico, pubblicati da fornitori diversi da tale operatore, consenso che può, tuttavia, essere dato o a detto operatore o a uno di tali fornitori.
2) L’articolo 17 del regolamento 2016/679,
deve essere interpretato nel senso che:
la richiesta di un abbonato diretta all’eliminazione dei suoi dati personali dagli elenchi telefonici e dai servizi di consultazione degli elenchi telefonici accessibili al pubblico costituisce un esercizio del «diritto alla cancellazione», ai sensi di tale articolo.
3) L’articolo 5, paragrafo 2, e l’articolo 24 del regolamento 2016/679,
devono essere interpretati nel senso che:
un’autorità di controllo nazionale può esigere che il fornitore di elenchi telefonici e di servizi di consultazione degli elenchi telefonici accessibili al pubblico, in quanto titolare del trattamento, adotti le misure tecniche e organizzative adeguate per informare i titolari del trattamento terzi, vale a dire l’operatore di servizi telefonici che gli ha comunicato i dati personali del suo abbonato nonché gli altri fornitori di elenchi telefonici e di servizi di consultazione degli elenchi telefonici accessibili al pubblico ai quali esso stesso ha fornito tali dati, della revoca del consenso di tale abbonato.
4) L’articolo 17, paragrafo 2, del regolamento 2016/679,
deve essere interpretato nel senso che:
esso non osta a che un’autorità di controllo nazionale ordini a un fornitore di elenchi telefonici e di servizi di consultazione degli elenchi telefonici accessibili al pubblico, al quale l’abbonato di un operatore di servizi telefonici ha chiesto di non pubblicare più i dati personali che lo riguardano, di adottare «misure ragionevoli», ai sensi di tale disposizione, al fine di informare i gestori dei motori di ricerca di tale richiesta di cancellazione dei dati.
Firme