Corte di giustizia UE/2026

Edizione provvisoria CONCLUSIONI DELL’[OSCURATO:PERSONA] presentate il 17 settembre 2026 ( 1 ) [OSCURATO:PERSONA]317/25 [OSCURATO:PERSONA] + SAS contro [OSCURATO:PERSONA] nationale de l’informatique e des libertés (CNIL), con l’intervento di: [OSCURATO:PERSONA], [OSCURATO:PERSONA] professionnel [OSCURATO:PERSONA] et [OSCURATO:PERSONA] (DMA [OSCURATO:PERSONA]), [OSCURATO:PERSONA], [OSCURATO:PERSONA] pour les acteurs du marketing digital (CPA), [OSCURATO:PERSONA] des éditeurs de contenus et services en ligne (GESTE) [domanda di pronuncia pregiudiziale, proposta dal Conseil d’État ([OSCURATO:PERSONA])] « Rinvio pregiudiziale – Direttiva 2002/58/CE – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Articolo 13 – Uso di posta elettronica a fini di commercializzazione diretta – Protezione delle persone fisiche riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 4, punto 11 – Consenso dell’interessato – Articolo 12, paragrafo 1 – Trasparenza delle informazioni – Articolo 13, paragrafo 1, e articolo 14, paragrafo 1 – Obbligo di informazione del titolare del trattamento – Dati raccolti da un primo operatore del trattamento a fini di commercializzazione con mezzi elettronici da parte dei suoi “partner” – Consenso dell’interessato – Identificazione dei destinatari dei dati raccolti » Introduzione 1. La presente domanda di pronuncia pregiudiziale è stata proposta dal Conseil d’État (Consiglio di Stato, [OSCURATO:PERSONA]), nell’ambito di un ricorso presentato dal [OSCURATO:PERSONA] + SAS contro la deliberazione SAN-2023-015, del 12 ottobre 2023, della [OSCURATO:PERSONA] nationale de l’informatique et des libertés (Commissione nazionale per l’informatica e le libertà) (CNIL) (in prosieguo: la «deliberazione della CNIL)») ( 2 ) con cui gli è stata inflitta una sanzione pecuniaria per aver svolto attività di commercializzazione diretta, ai sensi dell’articolo 13 della direttiva 2002/58/CE, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche ( 3 ), senza aver ottenuto il consenso degli interessati. Tali persone avevano acconsentito, al momento della raccolta dei loro dati personali da parte di fornitori di accesso a Internet (in prosieguo: i «FAI»), al trasferimento dei loro dati a fini di comunicazioni commerciali non richieste (spamming) a «partner» non identificati al momento della domanda di consenso. 2. La presente causa offre quindi alla Corte l’occasione di precisare in quali condizioni un trattamento di dati personali che subentri a un altro, da parte di un diverso titolare del trattamento, possa fondarsi sul consenso iniziale espresso al momento della raccolta di detti dati. Contesto normativo Diritto dell’Unione Direttiva 2002/58 3. Il considerando 40 della direttiva 2002/58 afferma che «[o]ccorre prevedere misure per tutelare gli abbonati da interferenze nella loro vita privata mediante comunicazioni indesiderate a scopo di commercializzazione diretta, in particolare mediante dispositivi automatici di chiamata, telefax o posta elettronica, compresi i messaggi SMS. Tali forme di comunicazioni commerciali indesiderate possono da un lato essere relativamente facili ed economiche da inviare e dall’altro imporre un onere e/o un costo al destinatario. Inoltre, in taluni casi il loro volume può causare difficoltà per le reti di comunicazione elettronica e le apparecchiature terminali. Per tali forme di comunicazioni indesiderate a scopo di commercializzazione diretta è giustificato prevedere che le relative chiamate possano essere inviate ai destinatari solo previo consenso esplicito di questi ultimi. Il mercato unico prevede un approccio armonizzato per garantire norme semplici a livello comunitario per le aziende e gli utenti». 4. Ai sensi dell’articolo 2, secondo comma, lettera f), della medesima direttiva, «il “consenso” dell’utente o dell’abbonato corrisponde al “consenso della persona interessata” di cui alla direttiva 95/46/CE ( 4 )». 5. L’articolo 13 della medesima direttiva, intitolato «Comunicazioni indesiderate», così dispone: «1.      L’uso di sistemi automatizzati di chiamata senza intervento di un operatore (dispositivi automatici di chiamata), del telefax o della posta elettronica a fini di commercializzazione diretta è consentito soltanto nei confronti degli abbonati che abbiano espresso preliminarmente il loro consenso. 2.      Fatto salvo il paragrafo 1, allorché una persona fisica o giuridica ottiene dai suoi clienti le coordinate elettroniche per la posta elettronica nel contesto della vendita di un prodotto o servizio ai sensi della direttiva 95/46/CE, la medesima persona fisica o giuridica può utilizzare tali coordinate elettroniche a scopi di commercializzazione diretta di propri analoghi prodotti o servizi, a condizione che ai clienti sia offerta in modo chiaro e distinto al momento della raccolta delle coordinate elettroniche e ad ogni messaggio la possibilità di opporsi, gratuitamente e in maniera agevole, all’uso di tali coordinate elettroniche qualora il cliente non abbia rifiutato inizialmente tale uso. (...)». RGPD 6. L’articolo 4, punto 11, RGDP definisce il consenso dell’interessato come «qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento». 7. L’articolo 5 RGPD, intitolato «Principi applicabili al trattamento di dati personali», prevede quanto segue: «1.      I dati personali sono: a)      trattati in modo lecito, corretto e trasparente nei confronti dell'interessato (“liceità, correttezza e trasparenza”); b)      raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; (...)». 8. L’articolo 6 RGPD, rubricato «Liceità del trattamento», prevede quanto segue: «1.      Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: a)      l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità; (...)». 9. Il capo III del RGPD, che contiene gli articoli da 12 a 23 dello stesso, è intitolato «Diritti dell’interessato». L’articolo 12 di tale regolamento, intitolato «Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato», enuncia, al paragrafo 1, quanto segue: «Il titolare del trattamento adotta misure appropriate per fornire all'interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato». 10. L’articolo 13 di detto regolamento, intitolato «Informazioni da fornire qualora i dati personali siano raccolti presso l’interessato», così recita: «1.      In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni: a)      l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante; (...) c)      le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento; (...) e)      gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali; (...) (...) 3.      Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni ulteriore informazione pertinente di cui al paragrafo 2. 4.      I paragrafi 1, 2 e 3 non si applicano se e nella misura in cui l’interessato dispone già delle informazioni». 11. L’articolo 14 RGPD, intitolato «Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato», dispone quanto segue: «1.      Qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento fornisce all’interessato le seguenti informazioni: a)      l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante; (...) c)      le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento; (...) 2.      Oltre alle informazioni di cui al paragrafo 1, il titolare del trattamento fornisce all’interessato le seguenti informazioni necessarie per garantire un trattamento corretto e trasparente nei confronti dell’interessato: (...) c)      l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati; d)      qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a), l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca; (...) f)      la fonte da cui hanno origine i dati personali e, se del caso, l’eventualità che i dati provengano da fonti accessibili al pubblico; (...) 3.      Il titolare del trattamento fornisce le informazioni di cui ai paragrafi 1 e 2: a)      entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati; b)      nel caso in cui i dati personali siano destinati alla comunicazione con l’interessato, al più tardi al momento della prima comunicazione all’interessato; oppure c)      nel caso sia prevista la comunicazione ad altro destinatario, non oltre la prima comunicazione dei dati personali. 4.      Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati ottenuti, prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni informazione pertinente di cui al paragrafo 2. 5.      I paragrafi da 1 a 4 non si applicano se e nella misura in cui: a)      l’interessato dispone già delle informazioni; b)      comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato; in particolare per il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatte salve le condizioni e le garanzie di cui all'articolo 89, paragrafo 1, o nella misura in cui l’obbligo di cui al paragrafo 1 del presente articolo rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni; c)      l’ottenimento o la comunicazione sono espressamente previsti dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento e che prevede misure appropriate per tutelare gli interessi legittimi dell’interessato; oppure d)      qualora i dati personali debbano rimanere riservati conformemente a un obbligo di segreto professionale disciplinato dal diritto dell’Unione o degli Stati membri, compreso un obbligo di segretezza previsto per legge». Diritto francese Code des postes et des communications électroniques (codice delle poste e delle comunicazioni elettroniche) 12. L’articolo L. 34-5 del codice delle poste e delle comunicazioni elettroniche, che recepisce nel diritto nazionale l’articolo 13 della direttiva 2002/58, nella versione applicabile alla controversia di cui al procedimento principale ( 5 ), dispone quanto segue: «È vietata la commercializzazione diretta mediante un sistema automatizzato di comunicazione elettronica ai sensi del sesto comma dell’articolo L. 32, telefax o posta elettronica utilizzando le coordinate di una persona fisica, abbonato o utente, che non abbia espresso preliminarmente il suo consenso a ricevere le commercializzazioni dirette con questo mezzo. Ai fini dell’applicazione del presente articolo, per consenso si intende qualsiasi manifestazione di volontà libera, specifica e informata con la quale una persona accetta che i dati personali che la riguardano possano essere utilizzati per [finalità di] commercializzazione diretta. Costituisce commercializzazione diretta qualsiasi messaggio destinato a promuovere, in modo diretto o indiretto, beni, servizi o l’immagine di una persona che vende beni o fornisce servizi. Ai fini dell’applicazione del presente articolo, le telefonate e i messaggi volti a incoraggiare l’utente o l’abbonato a chiamare un numero privato con una maggiorazione o a inviare un messaggio di testo con una maggiorazione rientrano parimenti nella commercializzazione diretta. Tuttavia, la commercializzazione diretta mediante posta elettronica è autorizzata se gli estremi del destinatario sono stati raccolti presso lo stesso, nel rispetto delle disposizioni della loi n. 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (legge n. 78-17, del 6 gennaio 1978, in materia di informatica, file e libertà) ( 6 ), in occasione di una vendita o di una prestazione di servizi, se la commercializzazione diretta riguarda prodotti o servizi analoghi forniti dalla stessa persona fisica o giuridica, e se al destinatario viene offerta, in modo espresso e senza ambiguità, la facoltà di opporsi, gratuitamente, a parte le spese legate alla trasmissione del rifiuto, e in maniera agevole, all’uso dei suoi estremi nel momento in cui vengono raccolti e ogni volta che gli venga indirizzato un messaggio elettronico di commercializzazione, qualora non abbia rifiutato inizialmente tale uso. (...)». Legge n. 78-17 13. L’articolo 4 della legge n. 78-17 dispone, in sostanza, che i dati personali devono essere trattati in maniera lecita e corretta, raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. Essi devono essere adeguati, pertinenti, limitati a quanto necessario rispetto alle finalità per le quali sono trattati, ed esatti. Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla Corte 14. Nel corso del 2021 [OSCURATO:PERSONA] + ha fatto realizzare, per suo conto, operazioni di commercializzazione con mezzi elettronici presso circa 3,9 milioni persone, i cui dati personali erano stati precedentemente acquisiti da due FAI. A tal fine, detti FAI avevano invitato i loro abbonati a selezionare una casella in un modulo di raccolta che riguardava il consenso all’utilizzo dei loro dati personali per finalità di commercializzazione diretta da parte dei «partner» di detti FAI, senza che tali partner fossero nominativamente identificati nel modulo di raccolta, né in un elenco accessibile mediante un link ipertestuale né con qualsiasi altro mezzo. 15. Investita di diverse denunce riguardanti operazioni di commercializzazione diretta con mezzi elettronici effettuate da [OSCURATO:PERSONA] +, la CNIL ha effettuato controlli presso tale società e, con deliberazione del 12 ottobre 2023, il collegio ristretto della CNIL ha ritenuto che detta società, non disponendo del consenso valido degli interessati per mettere in atto tali operazioni, avesse violato gli obblighi derivanti dall’articolo L. 34-5 del codice delle poste e delle comunicazioni elettroniche e dall’articolo 7, paragrafo 1, RGPD. Pertanto, considerando che [OSCURATO:PERSONA] + avesse violato l’obbligo di ottenere tale consenso, la CNIL ha irrogato nei suoi confronti una sanzione amministrativa pecuniaria di importo pari a EUR 600 000. 16. Con ricorso del 15 dicembre 2023, [OSCURATO:PERSONA] + ha adito il Conseil d’État (Consiglio di Stato), giudice del rinvio, al fine di ottenere l’annullamento della deliberazione della CNIL, nonché di riformare quest’ultima al fine di ridurre l’importo della sanzione pecuniaria amministrativa inflittagli. Dinanzi al giudice del rinvio, [OSCURATO:PERSONA] + sostiene che il consenso degli interessati, ottenuto dai FAI, era sufficientemente informato affinché essi potessero ricevere messaggi di commercializzazione inviati con mezzi elettronici per suo conto, in quanto gli interessati avevano già espresso il consenso all’utilizzo dei loro dati da parte dei partner di tali FAI. 17. Il giudice del rinvio si chiede se il consenso che era stato ottenuto dai FAI, in veste di primo operatore del trattamento, al fine di utilizzare i dati personali degli interessati per finalità di commercializzazione da parte dei partner di detti fornitori, consenta a [OSCURATO:PERSONA] + di mettere in atto operazioni di tale natura. Esso si chiede in particolare se [OSCURATO:PERSONA] +, che non era un partner nominativamente identificato dei FAI e la cui identità non era quindi nota agli interessati, dovesse o meno ottenere nuovamente un consenso specifico presso gli stessi prima di mettere in atto le proprie operazioni di commercializzazione. Inoltre, se il consenso ottenuto dai FAI può essere considerato informato ai sensi delle disposizioni del RGPD e della direttiva 2002/58, detto giudice si interroga sul grado di precisione della nozione di «categoria» di destinatari. 18. In tale contesto il Conseil d’État francese ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1)      Se il [punto] 11 dell’articolo 4 RGPD, in combinato disposto con gli articoli 13 e 14 RGPD, nonché con l’articolo 13 della direttiva [2002/58/CE], debba essere interpretato nel senso che il consenso dell’interessato, dato a un primo operatore del trattamento, a che i suoi dati siano utilizzati da una categoria di destinatari, come, nel caso di specie, i “partner” dei FAI, può essere considerato come un consenso libero, specifico, informato e inequivocabile che consenta a chiunque appartenga a tale categoria di procedere ad operazioni di commercializzazione con mezzi elettronici senza aver bisogno di sollecitare un nuovo consenso, o se il combinato disposto di tali disposizioni implichi, come nel caso di specie, che qualsiasi destinatario dei dati personali raccolti, se la sua identità non era nota all’interessato al momento in cui ha dato il suo consenso al primo operatore del trattamento, ottenga il consenso di tale persona prima di poter procedere presso di lei alla commercializzazione in qualità di titolare di un nuovo trattamento. 2)      Nell’ipotesi in cui si dovesse ritenere che il consenso, dato dall’interessato ad un primo operatore del trattamento, a che i suoi dati siano utilizzati da una categoria di destinatari per realizzare la commercializzazione con mezzi elettronici, possa essere considerato come un consenso informato ai sensi delle disposizioni sopra citate, [sorge la questione] se il grado di precisione della nozione di “categoria” di destinatari rivesta importanza o se quest’ultima possa, come nel caso di specie, limitarsi a rinviare a qualsiasi “partner” del primo operatore del trattamento dei dati». 19. Hanno presentato osservazioni scritte [OSCURATO:PERSONA] +, la Commissione europea e i governi francese, spagnolo e italiano. All’udienza di discussione tenutasi il 2 luglio 2026 hanno svolto le loro osservazioni orali [OSCURATO:PERSONA] +, il [OSCURATO:PERSONA] professionnel [OSCURATO:PERSONA] et [OSCURATO:PERSONA], la Commissione e i governi francese e spagnolo. [OSCURATO:PERSONA] prima questione 20. Il giudice del rinvio chiede se il consenso espresso dagli abbonati dei FAI, in occasione della raccolta dei loro dati personali, permettesse a [OSCURATO:PERSONA] + di utilizzare tali dati per finalità di commercializzazione nei loro confronti, senza ottenere a sua volta un nuovo consenso. 21. [OSCURATO:PERSONA], [OSCURATO:PERSONA] + afferma che non era tenuto a ottenere un nuovo consenso per effettuare operazioni di commercializzazione con mezzi elettronici nei confronti degli interessati. Le altre parti interessate ritengono, al contrario, che il consenso ottenuto dai FAI, sulla base della semplice informazione delle «categorie di destinatari» cui sono trasmessi i dati raccolti in occasione di un primo trattamento, non sia sufficiente a dimostrare l’esistenza del consenso necessario per il secondo trattamento, consistente nelle operazioni di commercializzazione elettronica realizzate da [OSCURATO:PERSONA] +. 22. Dopo aver richiamato le disposizioni applicabili nel procedimento principale, esaminerò la portata del consenso espresso dagli interessati al momento della raccolta dei loro dati personali, al fine di stabilire se tale consenso potesse costituire il fondamento giuridico della commercializzazione diretta da parte di [OSCURATO:PERSONA] +. Richiamo delle disposizioni applicabili – Necessità di un consenso ai sensi dell’articolo 13, paragrafo 1, della direttiva 2002/58 23. Ricordo anzitutto che la causa principale verte su operazioni di commercializzazione diretta da parte di [OSCURATO:PERSONA] +. L’articolo 13 della direttiva 2002/58, intitolato «Comunicazioni indesiderate», mira segnatamente, come enunciato al considerando 40, a tutelare gli abbonati da interferenze nella loro vita privata mediante comunicazioni indesiderate a scopo di commercializzazione diretta. Come menzionato dall’articolo 1, paragrafo 2, di detta direttiva, letto alla luce del considerando 173 RGPD, la direttiva 2002/58 funge da lex specialis , integrando il RGPD ( lex generalis ) ( 7 ). Pertanto l’articolo 13 della direttiva 2002/58 è applicabile al procedimento principale e la valutazione della liceità del trattamento, consistente nell’utilizzo da parte dei [OSCURATO:PERSONA] + dei dati personali di cui trattasi, deve quindi avvenire alla luce delle condizioni stabilite da tale direttiva. 24. Osservo inoltre che l’articolo 13, paragrafo 1, di detta direttiva autorizza l’uso di diversi tipi di comunicazione, ossia dei sistemi automatizzati di chiamata senza intervento di un operatore (dispositivi automatici di chiamata), del telefax o della posta elettronica, a fini di commercializzazione diretta a condizione che essa sia rivolta ad abbonati che abbiano espresso preliminarmente il loro consenso. Ai fini dell’applicazione di tale disposizione occorre quindi verificare, in primo luogo, se il tipo di comunicazione utilizzata a fini di commercializzazione diretta figuri tra quelli previsti da detta disposizione; in secondo luogo, se tale comunicazione abbia come finalità la commercializzazione diretta, vale a dire se persegua uno scopo commerciale e si rivolga direttamente e individualmente ad un consumatore; e, in terzo luogo, se il requisito di ottenere un previo consenso da parte dell’utente sia stato rispettato ( 8 ). 25. Nella presente fattispecie, dalla domanda di pronuncia pregiudiziale risulta che le prime due condizioni sono soddisfatte. Infatti, il giudice del rinvio si riferisce espressamente a «operazioni di commercializzazione con mezzi elettronici» realizzate nei confronti di persone interessate, potenziali clienti di [OSCURATO:PERSONA] +. 26. Per contro, è oggetto di dibattito la questione del previo consenso degli interessati, destinatari di comunicazioni non richieste per finalità di commercializzazione diretta. 27. La necessità di un consenso su cui basare l’ulteriore trattamento di commercializzazione diretta è fuori discussione. A tal riguardo preciso che i requisiti per la deroga al consenso prevista dall’articolo 13, paragrafo 2, della direttiva 2002/58 non sono soddisfatti nella controversia principale ( 9 ). La questione su cui le parti si contrappongono è se, dal momento che l’identità del titolare dell’ulteriore trattamento di commercializzazione diretta non era nota, fosse sufficiente il consenso prestato dagli abbonati al momento della raccolta da parte del primo operatore del trattamento o se dovesse essere espresso un secondo consenso, il che mi porta alla nozione di «consenso informato». – Consenso informato ai sensi del RGPD 28. Il consenso ai sensi della direttiva 2002/58, e in particolare del suo articolo 13, paragrafo 1, va inteso nel senso del consenso previsto dal RGPD. Infatti, da un lato, l’articolo 2, secondo comma, lettera f), di tale direttiva, letto alla luce del suo considerando 17 ( 10 ), definisce il «consenso» di un utente o di un abbonato come corrispondente al «consenso della persona interessata» che figura nella direttiva 95/46 mentre, dall’altro, l’articolo 94, paragrafo 2, RGPD stabilisce che i riferimenti alla direttiva 95/46, abrogata dal RGPD, si intendono fatti al RGPD. 29. Da tali disposizioni risulta che il consenso deve soddisfare i requisiti previsti dall’articolo 4, punto 11, RGPD, applicabile ratione temporis ai fatti di cui al procedimento principale, che definisce il «consenso dell’interessato» nel senso che esso richiede una «manifestazione di volontà libera, specifica, informata e inequivocabile» dell’interessato nelle forme di una dichiarazione o di un’«azione positiva inequivocabile» che manifesti la sua accettazione del trattamento dei dati personali che lo riguardano ( 11 ). 30. Nel caso di specie, non è in discussione il carattere libero, specifico e inequivocabile del consenso espresso al momento della raccolta da parte del primo operatore del trattamento. Il disaccordo tra le parti si concretizza sulla questione se il consenso espresso dagli interessati fosse sufficientemente informato per poter fondare su di esso il trattamento di commercializzazione diretta. 31. Ricordo che il requisito di un consenso «informato» ai sensi dell’articolo 4, punto 11, RGPD, necessario affinché un trattamento di dati sia lecito, dipende, tra l’altro, dalla questione se tale soggetto abbia previamente ottenuto le informazioni riguardanti tutte le circostanze relative al trattamento dei dati in questione alle quali aveva diritto, tali da consentirgli di dare un consenso in modo «autodeterminato», con piena cognizione di causa ( 12 ). 32. Infatti, come risulta dall’articolo 12 RGPD, espressione del principio di trasparenza, il titolare del trattamento deve adottare misure appropriate per fornire tutte le informazioni di cui agli articoli 13 e 14 di detto regolamento. A tal riguardo esso deve fornire all’interessato informazioni in merito a tutte le circostanze che corredano il trattamento dei dati, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro, di modo che tale persona venga a conoscenza, oltre che del tipo di dati che devono essere trattati, della durata e delle modalità di tale trattamento e delle finalità che esso persegue, dell’ identità del titolare del trattamento. Siffatte informazioni devono consentire a detta persona di determinare facilmente le conseguenze di un eventuale consenso prestato e assicurare che questo sia espresso con piena cognizione di causa ( 13 ). Quale fondamento del principio di trasparenza, il diritto di informazione garantisce quindi la trasparenza di qualsiasi trattamento nel contesto del RGPD ( 14 ). 33. Inoltre, come precisato dalla Corte, l’obbligo di informazione che incombe al titolare del trattamento nei confronti degli interessati da un trattamento di dati personali costituisce il «corollario del diritto di informazione che è garantito a tali soggetti dagli articoli 12 e 13 del RGPD» ( 15 ). 34. La violazione del diritto degli interessati di essere sufficientemente informati di tutte le circostanze che accompagnano un trattamento di dati personali, e in particolare dell’ identità del titolare del trattamento, può quindi ostare all’espressione di un consenso informato, ai sensi dell’articolo 4, punto 11, RGPD, il che può rendere illecito tale trattamento, ai sensi dell’articolo 5, paragrafo 1, di detto regolamento ( 16 ). Il diritto all’informazione dell’interessato concorre dunque all’esistenza di un consenso di natura tale da fondare un trattamento lecito di dati e l’identità del titolare del trattamento costituisce, in tal senso, un elemento particolarmente necessario per rendere tale consenso informato. 35. Inoltre, gli obblighi in termini di acquisizione del consenso e di fornitura di informazioni previsti per rendere il consenso informato incombono al titolare del trattamento in questione, vale a dire alla persona che «determina le finalità e i mezzi [di tale] trattamento (...)» ( 17 ). 36. Nell’ambito della controversia principale, considerando la fase di raccolta dei dati personali da parte dei FAI e di trasmissione di tali dati ai rispettivi partner, l’articolo 13 RGPD si applica ai FAI per quanto riguarda gli obblighi d’informazione, il che consente che siano menzionate solo categorie di destinatari ( 18 ). I FAI non hanno quindi l’obbligo di precisare il destinatario dei dati, altrimenti l’espressione «categoria di destinatari» verrebbe svuotata di significato. 37. Per contro, nella fase di commercializzazione, i dati personali raccolti indirettamente dai FAI vengono utilizzati da [OSCURATO:PERSONA] + ( 19 ) e le informazioni da fornire agli interessati in tale fase sono quelle previste dall’articolo 14 RGPD, adottato per rispondere ai casi in cui il titolare del trattamento non sia in contatto diretto con l’interessato ( 20 ). In tali ipotesi, rientranti nell’ambito di applicazione dell’articolo 14 RGPD, come chiarito dalla Corte, il titolare del trattamento raccoglie i dati personali da un’altra fonte, cosicché la comunicazione delle informazioni oggetto di tale disposizione nel momento in cui esse sono ottenute è, in pratica, resa difficile, se non impossibile. Il carattere indiretto di una siffatta raccolta giustifica quindi che quest’ultima disposizione preveda la possibilità di «differire nel tempo l’adempimento dell’obbligo di informazione» che incombe al titolare del trattamento ( 21 ). La regola generale prevede tuttavia che il titolare del trattamento, che ha ottenuto indirettamente i dati personali, fornisca le informazioni entro un termine ragionevole dalla raccolta di tali dati, e al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati ( 22 ). Inoltre, nel caso in cui questi stessi dati siano destinati alla comunicazione con l’interessato, il titolare del trattamento deve fornire le informazioni al più tardi al momento della prima comunicazione a tale persona ( 23 ). 38. È in tale contesto che sorge la questione se, nell’ambito della controversia principale, il consenso ottenuto dai FAI potesse costituire il fondamento giuridico dell’ulteriore trattamento di commercializzazione diretta da parte di [OSCURATO:PERSONA] +, senza che fosse necessario ottenere un nuovo consenso, il che implica, a questo punto, l’analisi della portata del consenso ottenuto dai FAI. [OSCURATO:PERSONA] portata del consenso espresso nel caso di specie 39. Si può ritenere che il fatto che l’abbonato di un FAI spunti una casella di un modulo, dando il suo accordo all’utilizzo dei suoi dati personali a fini di commercializzazione da parte dei «partner» di tale FAI, costituisca un consenso al trasferimento dei suoi dati a detti partner al fine di renderli ulteriormente oggetto di un’attività di comunicazione avente scopo commerciale e diretta individualmente a lui ( 24 ). Ne deriva, secondo me, un consenso al trasferimento dei dati per una finalità di commercializzazione diretta indicata al momento della raccolta dei dati personali degli abbonati. 40. Tuttavia, come ha sottolineato segnatamente il governo francese, un tale consenso non implica necessariamente che gli interessati abbiano acconsentito a che il trattamento di commercializzazione diretta provenga da chicchessia . 41. Orbene, al pari della Commissione e dei governi parti interessate, ritengo che, per poter giuridicamente fondare tale trattamento, il consenso in questione debba riguardare l’ identità del titolare del trattamento di commercializzazione diretta ( 25 ). Fintanto che ciò non si verifica, il trattamento di commercializzazione diretta non può iniziare senza un nuovo consenso debitamente informato per quanto riguarda l’identità del titolare del trattamento in questione. 42. Una siffatta interpretazione deriva, a mio giudizio, dal tenore letterale delle disposizioni applicabili ma anche dal loro contesto e dagli scopi perseguiti dalla normativa di cui esse fanno parte ( 26 ). 43. In primo luogo, l’articolo 13, paragrafo 1, della direttiva 2002/58 implica un previo consenso che, nella fase della commercializzazione diretta, viene esaminato con riferimento ai requisiti di cui all’articolo 14 RGPD qualora i dati siano stati raccolti in modo indiretto, il che implica, a termini del suo paragrafo 1, lettera a), la conoscenza dell’identità personale del titolare di tale trattamento di commercializzazione ( 27 ). L’articolo 14, paragrafo 3, lettera b), RGPD dispone del resto che, nel caso in cui i dati personali siano destinati alla comunicazione con l’interessato, il titolare del trattamento deve fornire le informazioni previste, tra cui l’identità del titolare del trattamento, al più tardi al momento della prima comunicazione a tale persona. 44. In secondo luogo, il contesto in cui si inseriscono tali disposizioni conferma tale interpretazione. 45. Sotto un primo profilo, infatti, risulta dal considerando 42 RGPD che, «[a]i fini di un consenso informato, l’interessato dovrebbe essere posto a conoscenza almeno dell’identità del titolare del trattamento e delle finalità del trattamento cui sono destinati i dati personali». 46. Certo, la Corte ha potuto ammettere, in talune catene di trattamenti specifici, che la reiterazione del consenso non fosse necessaria. È questo il caso, in particolare, quando la finalità dei trattamenti successivi è la stessa ( 28 ). Tuttavia, tale soluzione giurisprudenziale particolare è circoscritta al consenso previsto in applicazione dell’articolo 12 della direttiva 2002/58. Del resto la Corte ha avuto cura di ricordare che, come enunciato dal considerando 39 di tale direttiva, se la parte che raccoglie i dati dall’abbonato o i terzi a cui i dati sono stati trasmessi desiderano usarli per uno scopo ulteriore , detta parte o detti terzi dovranno ottenere nuovamente il consenso dell’abbonato ( 29 ). 47. Ritengo quindi che la società [OSCURATO:PERSONA] + non possa avvalersi utilmente di tale giurisprudenza, non trasponibile alla causa principale. Al contrario, una siffatta giurisprudenza è di natura tale da avvalorare l’interpretazione secondo cui, nelle circostanze di cui al procedimento principale, è necessario un nuovo consenso per fondare giuridicamente il trattamento di commercializzazione, dal momento che i dati personali sono utilizzati per scopi diversi da quelli per cui sono stati raccolti. 48. Sotto un secondo profilo, i principi di trasparenza e correttezza del trattamento dei dati personali, previsti all’articolo 5, paragrafo 1, lettera a), RGPD, letti alla luce dei considerando 60 e 61 del medesimo regolamento ( 30 ), giustificano, a mio avviso, che gli interessati siano informati il più presto possibile delle modifiche concernenti la categoria dei destinatari dei loro dati. Una siffatta informazione permette quindi di garantire all’interessato che non gli «sfugga» l’eventuale modifica riguardante i destinatari dei suoi dati personali e di concedergli un termine ragionevole perché possa valutare la natura e l’impatto della modifica e, eventualmente, esercitare i diritti di cui gode in virtù del RGPD in relazione alla modifica stessa (per esempio, ritirare il suo consenso o opporsi al trattamento) ( 31 ). 49. Aggiungo che il link per la cancellazione che consente di ritirare il consenso espresso al momento della prima comunicazione, cui [OSCURATO:PERSONA] + ha fatto riferimento in udienza, si colloca nell’ambito dell’esercizio di tali diritti e rimane necessario in tal senso, segnatamente in forza dell’articolo 13, paragrafo 4, della direttiva 2002/58, ma non regolarizza a posteriori l’assenza di previo consenso in relazione all’identità del titolare del trattamento di commercializzazione, specificamente destinato a rendere lecito detto trattamento prima che avvenga. 50. Inoltre tale aggiornamento delle informazioni, di natura tale da rendere informato il consenso degli interessati, dovrebbe avvenire al di fuori di qualsiasi richiesta spontanea da parte di questi ultimi, fondata sul diritto di accesso previsto dall’articolo 15 RGPD. A tal riguardo l’argomento di [OSCURATO:PERSONA] + vertente sulla differenza tra, da un lato, gli obblighi in materia di informazioni previsti dagli articoli 13 e 14 RGPD e, dall’altro, il ruolo funzionale del diritto di accesso previsto dall’articolo 15 RGPD ( 32 ) non mi sembra attenuare l’obbligo di previo consenso nelle circostanze del caso di specie. Il diritto di accesso risponde a una richiesta specifica dell’interessato ( 33 ), mentre l’informazione fornita a titolo degli articoli 13 e 14 RGPD, che implica un comportamento attivo da parte del titolare del trattamento, si rivolge all’insieme degli interessati ed è più generale. Ciò detto, indipendentemente dall’esistenza di un diritto di accesso che gli interessati possono scegliere di esercitare o meno, informazioni insufficienti fornite a titolo degli articoli 13 o 14 RGPD portano unicamente a un consenso di portata limitata che non è sufficiente, di per sé, a consentire il trattamento dei dati personali per finalità di commercializzazione senza conoscere l’identità del titolare di tale trattamento. 51. Sotto un terzo profilo, rilevo che le eccezioni all’obbligo di fornire le informazioni previste dai testi, e in particolare l’identità del titolare del trattamento, sono tassativamente elencate all’articolo 14, paragrafo 5, RGPD. 52. Orbene, tali eccezioni non sono applicabili nella presente fattispecie. 53. In particolare, l’eccezione di cui all’articolo 14, paragrafo 5, lettera a), RGPD, riguardante il caso in cui gli interessati dispongono già delle informazioni, non è applicabile una volta che, per ipotesi, l’identità del titolare del trattamento di commercializzazione non è ancora stata comunicata. 54. Allo stesso modo, la fornitura dell’informazione relativa all’identità del titolare del trattamento di commercializzazione non mi sembra richiedere uno sforzo sproporzionato ai sensi dell’articolo 14, paragrafo 5, lettera b), RGPD. Infatti, come suggerito da talune parti interessate, [OSCURATO:PERSONA] + potrebbe conferire contrattualmente ai FAI l’onere di raccogliere il consenso necessario per il trattamento di commercializzazione diretta, sia precisando l’identità dei destinatari sia, nel caso in cui non siano ancora noti al momento della raccolta, tenendo per esempio un elenco aggiornato di qualsiasi modifica sostanziale relativa ai trattamenti di dati personali o riguardante le informazioni trasmesse in precedenza ( 34 ). In mancanza di ciò, [OSCURATO:PERSONA] + potrebbe ancora ottenere il consenso prima di procedere alla commercializzazione diretta vera e propria, o al più tardi al momento della prima comunicazione all’interessato, ipotesi del resto prevista dall’articolo 14, paragrafo 3, lettera b), RGPD. 55. In terzo luogo, occorre interpretare le disposizioni applicabili in senso conforme agli obiettivi perseguiti dalla direttiva 2002/58, quali enunciati ai considerando 2 e 40 della medesima, che mirano segnatamente a garantire il pieno rispetto dei diritti di cui agli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea e, a tal fine, a tutelare gli abbonati da qualsiasi interferenza nella loro vita privata mediante comunicazioni non richieste a scopo di commercializzazione diretta. 56. A tal riguardo, come risulta dal considerando 40 della direttiva 2002/58, le comunicazioni a scopo di commercializzazione diretta effettuate mediante posta elettronica «possono essere relativamente facili ed economiche da inviare», pur imponendo un onere e/o un costo al destinatario e causando a volte difficoltà per le reti di comunicazione elettronica e le apparecchiature terminali. È quindi particolarmente giustificato esigere dal titolare del trattamento di commercializzazione diretta (il mittente delle comunicazioni dirette) che abbia ottenuto il previo consenso del potenziale cliente (il destinatario delle comunicazioni dirette) prima di inviargliele. 57. Alla luce dell’intrusione nella sfera privata costituita dalla commercializzazione per mezzo di posta elettronica o di altri mezzi di comunicazione diretta individuale ( 35 ), ritengo che il requisito di un previo consenso, informato sotto il profilo dell’identità del titolare del trattamento di commercializzazione, si imponga a maggior ragione preliminarmente a una siffatta commercializzazione, salvo pregiudicare l’efficacia pratica dell’articolo 13, paragrafo 1, della direttiva 2002/58 e consentire di eludere tale condizione di liceità del trattamento di commercializzazione diretta. 58. Perdipiù, tenuto conto dell’esistenza di considerevoli implicazioni legate agli utilizzi secondari dei dati personali, segnatamente da parte degli intermediari di dati ( data broker ) ( 36 ), non sono favorevole a un’interpretazione dei testi in materia di consenso che attenui la protezione dei dati personali sotto questo aspetto. 59. Alla luce di tali considerazioni, l’argomento di [OSCURATO:PERSONA] + vertente su un «affaticamento del consenso» ( 37 ) non mi convince e, del resto, non può esonerare i titolari del trattamento (che si tratti dei FAI al momento del trasferimento dei dati o di [OSCURATO:PERSONA] + in occasione della prima commercializzazione diretta) dai loro obblighi in termini di consenso preliminare e informato. 60. Ne consegue che, contrariamente a quanto sostiene [OSCURATO:PERSONA] +, ritengo che, poiché il consenso espresso dagli interessati al momento della raccolta da parte del primo operatore del trattamento non riguarda l’identità del titolare del trattamento di commercializzazione diretta, esso rivesta una portata limitata che non consente a [OSCURATO:PERSONA] + di effettuare la commercializzazione senza ottenere un nuovo consenso, e questo al più tardi al momento della prima comunicazione agli interessati. 61. Sono pertanto del parere di rispondere alla prima questione dichiarando che l’articolo 4, punto 11, RGPD, in combinato disposto con gli articoli 13 e 14 di tale regolamento e con l’articolo 13 della direttiva 2002/58, dev’essere interpretato nel senso che il consenso dell’interessato, dato a un primo operatore del trattamento, a che i suoi dati siano utilizzati da una categoria di destinatari, designati come i «partner» del primo operatore del trattamento, ma la cui identità non era nota all’interessato nel momento in cui ha espresso il proprio consenso al primo operatore del trattamento, non può essere considerato come un consenso informato che consenta a chiunque appartenga a tale categoria di procedere ad operazioni di commercializzazione con mezzi elettronici senza aver bisogno di sollecitare un nuovo consenso degli interessati prima di poter procedere presso di essi a siffatte operazioni di commercializzazione. 62. Di conseguenza, non è necessario rispondere alla seconda questione pregiudiziale. Pertanto, di seguito procederò al suo esame in via subordinata. [OSCURATO:PERSONA] seconda questione 63. Qualora la Corte non dovesse accogliere la mia proposta di risposta alla prima questione, mi sembra si possano prendere in considerazione due approcci per rispondere alla seconda questione, sul grado di precisione della nozione di «categoria» di destinatari e sul nesso che essa presenta con il carattere sufficientemente informato del consenso. 64. Il primo approccio consisterebbe nel considerare che non esista un nesso tra, da un lato, il carattere sufficientemente informato del consenso e, dall’altro, il grado di precisione della nozione di «categoria» di destinatari. In tale ipotesi, l’identità del titolare del trattamento di commercializzazione diretta non appare come una condizione per la validità del consenso a essere oggetto di tale trattamento di commercializzazione. Pertanto, il consenso espresso dall’interessato, a un primo operatore del trattamento, a che i suoi dati siano utilizzati da una categoria di destinatari per effettuare una commercializzazione con mezzi elettronici potrebbe essere considerato come un consenso sufficientemente informato, indipendentemente dal grado di precisione della nozione di «categoria» di destinatari. Si potrebbe quindi ritenere che l’identità del titolare del trattamento di commercializzazione diretta dovrebbe essere nota solo per l’esercizio di diritti quali il diritto di accesso ai dati personali, di rettifica o cancellazione degli stessi, o del diritto di opporsi al trattamento. In tal caso il consenso sarebbe considerato sufficientemente informato, a prescindere dal fatto che la categoria di destinatari sia o meno precisata. Nel caso di specie, l’attività di commercializzazione potrebbe quindi essere effettuata da [OSCURATO:PERSONA] + senza che sia richiesto un nuovo consenso, indipendentemente dalla precisione della categoria di destinatari indicata al momento della raccolta da parte del primo operatore del trattamento. 65. Il secondo approccio, al quale accorderei la mia preferenza, potrebbe portare a considerare che esista un nesso tra, da un lato, il carattere sufficientemente informato del consenso e, dall’altro, il grado di precisione della nozione di «categoria» di destinatari. In tale eventualità, anche in assenza di informazioni sull’identità concreta del titolare del trattamento di commercializzazione, sarebbe comunque necessaria la possibilità di identificazione dello stesso per consentire l’attività di commercializzazione diretta senza ottenere un nuovo consenso. In questa situazione il grado di precisione della nozione di «categoria di destinatari» potrebbe rivestire una certa importanza. 66. In tal caso, la «categoria» di destinatari dovrebbe essere precisata dal primo operatore del trattamento di modo che, tenuto conto del contesto e delle circostanze al momento della raccolta dei dati, l’interessato possa ragionevolmente aspettarsi che i suoi dati personali siano oggetto di un utilizzo a fini di commercializzazione da parte della persona che si metta in contatto con lui. In altre parole, l’interessato non dovrebbe essere sorpreso dell’attività di commercializzazione diretta effettuata da [OSCURATO:PERSONA] + e dovrebbe sapere che ha prestato il suo consenso al momento della raccolta dei dati personali da parte del suo FAI tenuto conto, per esempio, della precisazione della categoria di destinatari indicata o del contesto della raccolta dei dati nonché dell’attività del primo operatore del trattamento (nella fattispecie, i FAI) ( 38 ). 67. Orbene, nel caso di specie, la nozione di «partner» dei FAI rimane, a titolo della «categoria» di destinatari, una nozione molto vaga nel contesto della raccolta dei dati personali da parte dei FAI. Contrariamente a quanto sostenuto da [OSCURATO:PERSONA] +, ritengo che l’impiego del termine «partner», anche letto alla luce della finalità di commercializzazione con mezzi elettronici, non possa bastare a informare l’interessato in modo che si possa considerare che questi abbia dato il suo consenso con piena cognizione di causa per essere contattato da [OSCURATO:PERSONA] +. Anche supponendo che gli abbonati dei FAI possano avere un’idea di ciò che [OSCURATO:PERSONA] + definisce l’«ecosistema commerciale» del loro fornitore, non mi sembra che ciò consenta di precisare la nozione di «partner», né di individuare quello che il fatto di essere il «partner» di tale fornitore può comportare in termini di beni o servizi interessati ( 39 ). L’unica indicazione è che si tratta di un soggetto che ha una relazione contrattuale e commerciale con il FAI, il che costituisce una categoria, certamente non infinita, ma comunque non definita. Infatti, per ipotesi, il trasferimento di dati dal FAI al destinatario implica perlopiù una siffatta relazione. 68. Inoltre, nel contesto della controversia principale tale nozione di «partner» mi sembra talmente indefinita che, dando il suo consenso nella fase della raccolta, l’abbonato dei FAI dovrebbe al contrario aspettarsi di essere informato più precisamente sull’identità di tale partner a tempo debito, vale a dire al momento del trasferimento di tali dati al partner di cui trattasi e, al più tardi, preliminarmente all’attività di commercializzazione. Peraltro osservo che, secondo il gruppo di lavoro «Articolo 29», quando vengono comunicate solo le «categorie di destinatari», le informazioni dovrebbero essere le più specifiche possibili e indicare, per esempio, il tipo di destinatario con riferimento alle attività svolte, l’ambito di attività, il settore, il comparto e la sede dei destinatari ( 40 ). 69. Ne consegue secondo me che, se si accetta che il consenso prestato in presenza di una «categoria di destinatari» possa fondare giuridicamente l’attività di commercializzazione diretta da parte di uno di tali destinatari senza che esso sia identificato, la sua identificazione a tempo debito quale destinatario del FAI primo operatore del trattamento dovrebbe quanto meno essere ragionevolmente possibile ( 41 ). In tal senso, maggiore è l’imprecisione in merito a tali categorie di destinatari nella fase della raccolta in sede di primo trattamento, meno essa è suscettibile di produrre un consenso in grado di fondare l’utilizzo dei dati personali raccolti ai fini di un trattamento di commercializzazione diretta da parte di un altro titolare del trattamento. 70. Nelle circostanze di cui al procedimento principale, ritengo che la nozione di «partner» dei FAI primi operatori del trattamento non possa determinare la «catena di consensi» invocata da [OSCURATO:PERSONA] +. Nel quadro di questo secondo approccio, rimarrebbe quindi necessaria l’acquisizione di un nuovo consenso che permetta di identificare il destinatario dei dati, preliminarmente all’utilizzo dei dati personali di cui trattasi per finalità di commercializzazione. Conclusione 71. Alla luce di tutte le considerazioni che precedono suggerisco alla Corte, da un lato, di dichiarare che non occorre rispondere alla seconda questione pregiudiziale sollevata dal Conseil d’État (Consiglio di Stato, [OSCURATO:PERSONA]) e, dall’altro, di rispondere come segue alla prima questione pregiudiziale: L’articolo 4, punto 11, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, in combinato disposto con gli articoli 13 e 14 del medesimo regolamento e con l’articolo 13 della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche, dev’essere interpretato nel senso che: il consenso dell’interessato, dato a un primo operatore del trattamento, a che i suoi dati siano utilizzati da una categoria di destinatari, designati come i «partner» del primo operatore del trattamento, ma la cui identità non era nota all’interessato nel momento in cui ha espresso il proprio consenso al primo operatore del trattamento, non può essere considerato come un consenso informato che consenta a chiunque appartenga a tale categoria di procedere ad operazioni di commercializzazione con mezzi elettronici senza aver bisogno di sollecitare un nuovo consenso degli interessati prima di poter procedere presso di essi a siffatte operazioni di commercializzazione. 1 Lingua originale: il francese. 2 Disponibile al seguente indirizzo: https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000048222771 . 3 Direttiva del Parlamento europeo e del Consiglio, del 12 luglio 2002 (GU 2002, L 201, pag. 37). La proposta di regolamento « ePrivacy » è stata abbandonata [v. allegati alla comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni. Programma di lavoro della Commissione per il 2025. Avanti insieme: un’Unione più coraggiosa, più semplice e più rapida [COM(2025) 45 final], pag. 26, n. 29]. 4 Direttiva del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31). Tale direttiva è stata sostituita dal regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»), il cui articolo 94, intitolato «Abrogazione della direttiva 95/46/CE», enuncia, al paragrafo 2, che i riferimenti alla direttiva abrogata si intendono fatti a detto regolamento. 5 Come modificato dall’articolo 8 della legge n. 2020‑901, del 24 luglio 2020 (JORF del 25 luglio 2020, n. 181). 6 JORF del 7 gennaio 1978, n. 6 (in prosieguo: la «legge n. 78-17»). 7 V. sentenza del 13 novembre 2025, [OSCURATO:PERSONA] (C-654/23, EU:C:2025:871, punti da 66 a 68). V., anche, Comitato europeo per la protezione dei dati (EDPB), parere 5/2019, del 12 marzo 2019, sull’interazione tra la direttiva e-privacy e il regolamento generale sulla protezione dei dati, in particolare per quanto concerne competenze, compiti e poteri delle autorità per la protezione dei dati, pagg. 12 e segg., consultabile al seguente indirizzo: https://www.edpb.europa.eu/system/files/documents/files/file1/201905_edpb_opinion_eprivacydir_gdpr_interplay_it.pdf. 8 V. sentenza del 25 novembre 2021, StWL [OSCURATO:PERSONA] a.d. Pegnitz (C‑102/20, EU:C:2021:954, punto 37). Per quanto riguarda una definizione del concetto di posta elettronica «ampia e [che] si sforza di essere tecnologicamente neutra», v. gruppo di lavoro «Articolo 29», parere 5/2004, del 27 febbraio 2004, relativo alle comunicazioni indesiderate a fini di commercializzazione diretta ai sensi dell’articolo 13 della direttiva 2002/58/CE, WP 90, punto 3.1, disponibile al seguente indirizzo: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2004/wp90_it.pdf . 9 La deroga alla regola del previo consenso si spiega con la circostanza che, nell’ambito di una relazione cliente-fornitore già esistente, è ragionevole autorizzare l’impresa che, nel rispetto del RGPD, ha ottenuto gli estremi elettronici dei propri clienti a utilizzare tali dati; tuttavia, esclusivamente tale impresa, e solo per proporre ai clienti prodotti o servizi simili (v. considerando 41 della direttiva 2002/58). Orbene, non è questo il caso nella controversia principale, poiché le operazioni di commercializzazione diretta non provengono dai FAI che hanno agito come primi operatori del trattamento per proporre prodotti o servizi analoghi. Pertanto la deroga al consenso, prevista dall’articolo 13, paragrafo 2, della direttiva non è applicabile. 10 Tale considerando precisa che, ai fini della direttiva in oggetto, il consenso dell’utente o dell’abbonato, senza considerare se quest’ultimo sia una persona fisica o giuridica, dovrebbe avere lo stesso significato del consenso della persona interessata quale definito ed ulteriormente determinato nella direttiva 95/46. 11 In tale senso, è stato possibile considerare tale disposizione del RGPD più vincolante rispetto a quella contenuta nella direttiva 95/46, il cui articolo 2, lettera h), definiva i termini «consenso della persona interessata» come «qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento [di dati personali]» (v. sentenza del 1º ottobre 2019, Planet49 (C-673/17, EU:C:2019:801, punto 61). V., anche, EDPB, linee guida 5/2020, del 4 maggio 2020, sul consenso ai sensi del regolamento (UE) 2016/679, versione 1.1, punto 1, disponibile al seguente indirizzo: https://www.edpb.europa.eu/documents/guideline/guidelines-052020-on-consent-under-regulation-2016679_it . 12 V. sentenze dell’11 luglio 2024, [OSCURATO:PERSONA] (Azione rappresentativa) (C‑757/22; in prosieguo: la «sentenza [OSCURATO:PERSONA]», EU:C:2024:598, punto 60), e, per analogia, del 4 settembre 2025, GEPD/CRU (Nozione di dati personali) (C-413/23 P, EU:C:2025:645, punto 106). 13 V., in tal senso, sentenze dell’11 novembre 2020, [OSCURATO:PERSONA] (C-61/19, EU:C:2020:901, punto 40), e [OSCURATO:PERSONA] (punti 55, 56, 59 e 60). Sullo stretto nesso tra protezione dei dati e trasparenza, sottolineato dall’articolo 12 RGPD, v. Bygrave, L. A., e Tosoni, L., «[OSCURATO:PERSONA] 4(11). Consent», in Kuner, C., Bygrave, L. A., Docksey, C., e Drechsler, L. (dir.), The EU [OSCURATO:PERSONA] (GDPR). A [OSCURATO:PERSONA], [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2020, pag. 184. V., anche, Tambou, O., Manuel de droit européen de la protection des données à caractère personnel , Bruylant, Bruxelles, 2020, pag. 129, nn. 141 e segg., e, in particolare, pag. 134, n. 144, e Dix, A., «Art. 12. Transparent information, communication and modalities for the exercise of the rights of the data subject», in [OSCURATO:PERSONA]. [OSCURATO:PERSONA]-by-[OSCURATO:PERSONA] , [OSCURATO:PERSONA], Baden-Baden, 2023, pagg. da 434 a 447. 14 V. conclusioni dell’avvocato generale [OSCURATO:PERSONA] nella causa Bara e a. (C-201/14, EU:C:2015:461, paragrafo 74) e conclusioni dell’avvocata generale Medina nella causa [OSCURATO:PERSONA] (C-422/24, EU:C:2025:623, paragrafo 1). 15 V. sentenza [OSCURATO:PERSONA] (punto 58). 16 V. sentenza [OSCURATO:PERSONA] (punto 59). 17 Così definito dall’articolo 4, punto 7, RGPD. V. anche, sulla responsabilità congiunta, sentenza del 29 luglio 2019, Fashion ID (C-40/17, EU:C:2019:629, punto 106). 18 In tale fase, l’identificazione del destinatario non è sempre possibile e la nozione di «categoria di destinatari» consente di raccogliere un consenso più globale. 19 Non è in discussione in questa sede la questione relativa ai subappaltatori di [OSCURATO:PERSONA] + che realizzano per suo conto la commercializzazione. 20 V. sentenza del 18 dicembre 2025, [OSCURATO:PERSONA] (C-422/24; in prosieguo: la «sentenza [OSCURATO:PERSONA]», EU:C:2025:980, punto 39). V. altresì, in merito all’ambito di applicazione dell’articolo 14 RGPD, sentenza del 28 novembre 2024, Másdi (C-169/23, EU:C:2024:988, punto 55). 21 V. sentenza [OSCURATO:PERSONA] (punto 39). 22 V. articolo 14, paragrafo 3, lettera a), RGPD. V., inoltre, Gruppo di lavoro «Articolo 29», Linee guida sulla trasparenza ai sensi del regolamento (UE) 2016/679, dell’11 aprile 2018, WP 260, rev. 01, punto 28 (in prosieguo: le «Linee guida sulla trasparenza»), disponibile al seguente indirizzo: https://www.edpb.europa.eu/documents/guideline/article-29-working-party-guidelines-on-transparency-under-regulation-2016679_it . 23 V. articolo 14, paragrafo 3, lettera b), RGPD. 24 V., sulla nozione di «commercializzazione diretta», sentenza del 25 novembre 2021, StWL [OSCURATO:PERSONA] a.d. Pegnitz (C-102/20, EU:C:2021:954, punto 47). V. altresì, sul carattere ampio della nozione di «commercializzazione diretta», gruppo di lavoro «Articolo 29», parere 5/2004, del 27 febbraio 2004, relativo alle comunicazioni indesiderate a fini di commercializzazione diretta ai sensi dell'articolo 13 della direttiva 2002/58/CE, WP 90, punto 3.3. 25 V. EDPB, linee guida 5/2020, del 4 maggio 2020, sul consenso ai sensi del regolamento (UE) 2016/679, versione 1.1, punto 65, secondo cui «qualora più titolari del trattamento (congiunti) intendano basarsi sul medesimo consenso oppure qualora i dati debbano essere trasferiti o trattati da altri titolari del trattamento che intendono basarsi sul consenso iniziale, tutti questi titolari del trattamento devono essere indicati». 26 V., su tale metodo di interpretazione della Corte, in particolare la sentenza [OSCURATO:PERSONA] (punto 28 e giurisprudenza citata). 27 V., al riguardo, i richiami effettuati ai paragrafi da 31 a 35 delle presenti conclusioni. 28 V. sentenze del 5 maggio 2011, [OSCURATO:PERSONA] (C-543/09, EU:C:2011:279, punti da 64 a 66), e del 27 ottobre 2022, Proximus (Elenchi telefonici elettronici pubblici) (C-129/21, EU:C:2022:833, punti da 48 a 50). 29 V. sentenza del 27 ottobre 2022, Proximus (Elenchi telefonici elettronici pubblici) (C-129/21, EU:C:2022:833, punto 50). 30 Il considerando 60 RGPD enuncia che i principi di trattamento corretto e trasparente «implicano che l’interessato sia informato dell’esistenza del trattamento e delle sue finalità. Il titolare del trattamento dovrebbe fornire all’interessato eventuali ulteriori informazioni necessarie ad assicurare un trattamento corretto e trasparente, prendendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati.». Il considerando 61 di detto regolamento precisa, in particolare, che «[l]’interessato dovrebbe ricevere le informazioni relative al trattamento di dati personali che lo riguardano al momento della raccolta presso l’interessato o, se i dati sono ottenuti da altra fonte, entro un termine ragionevole, in funzione delle circostanze del caso. Se i dati personali possono essere legittimamente comunicati a un altro destinatario, l’interessato dovrebbe esserne informato nel momento in cui il destinatario riceve la prima comunicazione dei dati personali. Il titolare del trattamento, qualora intenda trattare i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, dovrebbe fornire all’interessato, prima di tale ulteriore trattamento, informazioni in merito a tale finalità diversa e altre informazioni necessarie. (...)». Il corsivo è mio. 31 V., per analogia, sentenza del 1º ottobre 2015, Bara e a. (C-201/14, EU:C:2015:638, punto 34), in cui la Corte sottolinea che la condizione del trattamento leale dei dati personali obbliga un’amministrazione pubblica a informare le persone interessate della trasmissione di tali dati a un’altra amministrazione pubblica «che li tratterà i n qualità di destinataria di detti dati» (il corsivo è mio). V., inoltre, linee guida sulla trasparenza, punto 30. 32 L’articolo 15 RGPD svolge in effetti un «ruolo funzionale» e strumentale rispetto all’esercizio di altre prerogative dell’interessato previste dal RGPD [v. conclusioni dell’avvocato generale Pitruzzella nella causa [OSCURATO:PERSONA] (Informazioni sui destinatari di dati personali) (C-154/21, EU:C:2022:452, paragrafo 33); v., sempre in tal senso, sentenze del 12 gennaio 2023, [OSCURATO:PERSONA] (Informazioni sui destinatari di dati personali) (C-154/21, EU:C:2023:3, punti 38 e 39), e del 22 giugno 2023, Pankki S (C-579/21, EU:C:2023:501, punto 58)]. 33 Taluni autori hanno evocato la trasparenza «passiva» per il titolare del trattamento nell’ambito dell’articolo 15 RGPD, per il fatto che la richiesta spetta all’interessato [v. Zanfir-Fortuna, G., «[OSCURATO:PERSONA] 15. Right of access by the data subject», in Kuner, C., Bygrave, L. A., Docksey, C., e Drechsler, L. (dir.), The EU [OSCURATO:PERSONA] (GDPR). A [OSCURATO:PERSONA], [OSCURATO:PERSONA] , [OSCURATO:PERSONA], 2020, pagg. da 449 a 467]. Il diritto di informazione è «al centro del dispositivo di protezione» poiché l’interessato non può esercitare i suoi diritti (e, in particolare, il diritto di accesso di cui all’articolo 15 RGPD) se ignora se sia o meno in corso un trattamento (v. Castets-Renard, C., «Titre 1 – [OSCURATO:PERSONA] des données personnelles», in Droit du marché unique numérique et intelligence artificielle , Bruylant, Bruxelles, 2020, 1 a ed., pagg. da 221 a 300, in particolare pag. 270, punto 341). 34 La deliberazione della CNIL menziona anche tale possibilità al suo punto 27, in cui fa riferimento a un elenco esaustivo e aggiornato «tenuto a disposizione delle persone al momento della raccolta del loro consenso, per esempio direttamente sul supporto utilizzato per la raccolta o, se troppo lungo, tramite un link ipertestuale che rinvia a tale elenco e alle politiche di realizzazione dei prestatori e fornitori». 35 V., a tal riguardo, conclusioni dell’avvocato generale Richard de la Tour nella causa StWL [OSCURATO:PERSONA] a.d. Pegnitz (C-102/20, EU:C:2021:518, paragrafo 57). 36 V., in particolare, Ruschemeier, H., «[OSCURATO:PERSONA] and [OSCURATO:PERSONA]», EDPL , vol. 9, n. 1, 2023, pagg. da 27 a 38. 37 Si tratta a tale proposito della stanchezza dell’utente che, a causa di eccessive sollecitazioni, finisce per esprimere il suo consenso in modo meccanico senza riflettere, o al contrario per rinunciare a utilizzare il sito in modo più approfondito. V. a tal proposito, in particolare, l’iniziativa della Commissione di «impegno contro i cookies» ( cookies pledge ), vertente in particolare sulla riduzione della necessità, per i consumatori, di accettare o rifiutare di continuo i cookies e altri tracciatori, disponibile al seguente indirizzo: https://commission.europa.eu/topics/consumers/consumer-rights-and-complaints/enforcement-consumer-protection/cookie-pledge_en . 38 Al riguardo, mi ispiro al punto 49 della relazione esplicativa del Consiglio d’Europa, sul protocollo di emendamento alla Convenzione per la protezione delle persone in relazione all’elaborazione automatica dei dati a carattere personale, del 10 ottobre 2018, detta «Convenzione 108 +», del 18 maggio 2018, in merito al fatto che, per accertare se la finalità di un ulteriore trattamento sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento dovrebbe, «dopo aver soddisfatto tutti i requisiti per la liceità del trattamento originario, tener conto tra l’altro di ogni nesso tra tali finalità e le finalità dell’ulteriore trattamento previsto, del contesto in cui i dati personali sono stati raccolti, in particolare le ragionevoli aspettative dell’interessato in base alla sua relazione con il titolare del trattamento con riguardo al loro ulteriore utilizzo ; della natura dei dati personali; delle conseguenze dell’ulteriore trattamento previsto per gli interessati; e dell’esistenza di garanzie adeguate sia nel trattamento originario sia nell’ulteriore trattamento previsto» (il corsivo è mio) (disponibile al seguente indirizzo: https://rm.coe.int/16808ac91b ). 39 Ne sono prova le denunce all’origine del procedimento principale. 40 V, al riguardo, linee guida sulla trasparenza, specificamente la tabella di cui all’allegato. 41 Il paragone effettuato da [OSCURATO:PERSONA] + tra l’utente Internet e il consumatore europeo medio normalmente informato e ragionevolmente attento e avveduto potrebbe rivelarsi pertinente [v., in tal senso, conclusioni dell’avvocato generale Szpunar nella causa Planet49 (C-673/17, EU:C:2019:246, paragrafo 113); v. altresì, sulle interazioni tra la protezione dei dati personali e il diritto in materia di tutela dei consumatori, le conclusioni dell’avvocato generale Richard de la Tour nella causa [OSCURATO:PERSONA] (C-319/20, EU:C:2021:979, paragrafi 80 e 81)], ferma restando la protezione elevata del consumatore nei confronti del professionista.