Corte di giustizia UE/2025

62023CJ0654_RES Causa C‑654/23 [OSCURATO:PERSONA] SA contro [OSCURATO:PERSONA] Naţională de Supraveghere a Prelucrării Datelor cu [OSCURATO:PERSONA] (ANSPDCP) (domanda di pronuncia pregiudiziale proposta dalla Curtea de Apel Bucureşti) Sentenza della Corte (Prima Sezione) del 13 novembre 2025 «Rinvio pregiudiziale – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Direttiva 2002/58/CE – Articolo 13, paragrafi 1 e 2 – Comunicazioni indesiderate – Nozione di comunicazione effettuata “a scopi di commercializzazione diretta” – Ottenimento di coordinate elettroniche “nel contesto della vendita di un prodotto o servizio” – Iscrizione su una piattaforma online che dà accesso a un contenuto aggiuntivo – Invio per posta elettronica di una lettera di informazione quotidiana – Regolamento (UE) 2016/679 – Articolo 6 – Liceità del trattamento – Articolo 95 – Rapporto con la direttiva 2002/58/CE» Ravvicinamento delle legislazioni – Settore delle telecomunicazioni – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Direttiva 2002/58 – Comunicazioni indesiderate – Nozione di comunicazione effettuata a scopi di commercializzazione diretta – Ottenimento delle coordinate elettroniche nel contesto della vendita di un prodotto o servizio – Iscrizione su una piattaforma online che dà accesso gratuito a determinati contenuti e a una lettera di informazione – Lettera di informazione gratuita inviata per posta elettronica contenente collegamenti ipertestuali ad articoli a pagamento – Inclusione (Direttiva del Parlamento europeo e del Consiglio 2002/58, come modificata dalla direttiva 2009/136, art. 13, §§ 1 e 2) (v. punti 40‑63, dispositivo 1) Ravvicinamento delle legislazioni – Settore delle telecomunicazioni – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Direttiva 2002/58 – Comunicazioni indesiderate – Uso di posta elettronica a fini di commercializzazione diretta – Inapplicabilità delle condizioni di liceità del trattamento previste dal regolamento 2016/679 (Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 173 e artt. 6, § 1, e 95; direttiva del Parlamento europeo e del Consiglio 2002/58, come modificata dalla direttiva 2009/136, art. 13, § 2) (v. punti 65‑69, dispositivo 2) [OSCURATO:PERSONA] in via pregiudiziale dalla Curtea de Apel București (Corte d’appello di Bucarest, Romania), la Corte fornisce precisazioni sulle nozioni di comunicazione effettuata «a scopi di commercializzazione diretta» e di coordinate elettroniche ottenute «nel contesto della vendita di un prodotto o servizio», ai sensi dell’articolo 13, paragrafi 1 e 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche ( 1 ), nel contesto dell’iscrizione su una piattaforma online che dà accesso a una lettera di informazione elettronica. La Corte precisa altresì il coordinamento tra tale direttiva e il RGPD ( 2 ), per quanto riguarda le condizioni di liceità applicabili a un trattamento di dati personali effettuato nell’ambito di una comunicazione indesiderata, ai sensi dell’articolo 13 di detta direttiva. [OSCURATO:PERSONA] è l’editore della pubblicazione di carattere giornalistico online avocatnet.ro, destinata a informare il grande pubblico, non specializzato nel settore giuridico, delle modifiche legislative quotidiane in Romania. Nel luglio 2018, tale società ha introdotto un sistema di abbonamento a pagamento per una parte del contenuto fornito ai propri lettori. Alla data dei fatti di cui al procedimento principale, la [OSCURATO:PERSONA] consentiva l’accesso gratuito a un numero massimo di articoli al mese, oltre il quale l’utente interessato doveva creare un conto utente ( account ) gratuito sulla piattaforma online gestita dalla [OSCURATO:PERSONA]. L’iscrizione a tale servizio conferiva all’utente il diritto di accedere a un numero aggiuntivo di articoli al mese, e di ricevere gratuitamente, per posta elettronica, una lettera di informazione ( newsletter ) quotidiana contenente una sintesi delle novità legislative trattate in articoli della pubblicazione, compresi collegamenti ipertestuali a tali articoli. L’utente aveva inoltre la possibilità di accedere, dietro pagamento, a tutti gli articoli della pubblicazione. Gli utenti potevano scegliere di non ricevere tale lettera di informazione o di annullare l’iscrizione in qualsiasi momento. Nel settembre 2019, l’autorità rumena per la protezione dei dati (in prosieguo: l’«ANSPDCP») ha redatto un verbale di accertamento di illecito amministrativo, con il quale ha inflitto alla [OSCURATO:PERSONA] una sanzione pecuniaria. L’ANSPDCP ha ritenuto che la società in parola non avesse potuto dimostrare l’ottenimento del consenso esplicito di un certo numero di utenti al trattamento dei loro dati personali (posta elettronica, password, nome utente) e che tali dati, inizialmente raccolti ai fini dell’esecuzione del contratto di cui è causa, erano stati trattati in modo incompatibile con tale finalità, vale a dire ai fini della trasmissione della lettera di informazione. Con sentenza di primo grado pronunciata nel dicembre 2021, il Tribunalul București (Tribunale superiore di Bucarest, Romania) ha parzialmente accolto la domanda della [OSCURATO:PERSONA] diretta all’annullamento del verbale di accertamento di illecito amministrativo redatto dall’ANSPDCP. Esso ha in particolare ridotto l’importo della sanzione pecuniaria inflitta a detta società, pur confermando l’accertamento dell’illecito amministrativo figurante nel verbale. Investito degli appelli proposti avverso detta sentenza di primo grado, il giudice del rinvio si interroga sul fondamento giuridico del trattamento dei dati personali di cui è causa nel procedimento principale e sulle condizioni che devono essere soddisfatte affinché un siffatto trattamento possa essere considerato lecito, alla luce della direttiva relativa alla vita privata e alle comunicazioni elettroniche e del RGPD. Secondo il summenzionato giudice, è necessario chiarire, in particolare, le condizioni alle quali l’indirizzo di posta elettronica di un utente può essere considerato ottenuto «nel contesto della vendita di un prodotto o servizio», ai sensi dell’articolo 13, paragrafo 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche, nonché la portata della nozione di «commercializzazione diretta» contenuta in tale articolo 13. Giudizio della Corte In primo luogo, la Corte rileva che le disposizioni previste all’articolo 13, paragrafi 1 e 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche sono destinate ad applicarsi alle sole comunicazioni effettuate «a scopi di commercializzazione diretta». La Corte esamina quindi, in un primo momento, la questione di stabilire se la comunicazione di una lettera di informazione, come quella di cui si tratta nel procedimento principale, abbia come finalità la «commercializzazione diretta» ai sensi dell’articolo 13, paragrafi 1 e 2, di detta direttiva. La Corte ricorda quindi che la nozione di comunicazione effettuata «a scopi di commercializzazione diretta», prevista da tale disposizione, riguarda le comunicazioni che perseguono uno scopo commerciale e si rivolgono direttamente e individualmente ad un consumatore ( 3 ). La Corte constata che la comunicazione di cui si tratta nel procedimento principale consiste in una lettera di informazione quotidiana, diffusa sotto forma di messaggio di posta elettronica, contenente una sintesi di novità legislative trattate negli articoli di una pubblicazione di carattere giornalistico online nonché collegamenti ipertestuali a tali articoli. Secondo la Corte, la circostanza che la comunicazione in parola abbia anche un contenuto informativo non può implicare che essa debba essere esclusa dalla nozione di comunicazione effettuata «a scopi di commercializzazione diretta» ai sensi dell’articolo 13, paragrafi 1 e 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche e, pertanto, dall’ambito di applicazione di detta disposizione. Al contrario, la Corte osserva che una siffatta comunicazione è destinata a indurre gli utenti interessati ad accedere al contenuto a pagamento fornito da un editore di pubblicazioni, favorendo l’esaurimento del numero di articoli che possono essere consultati gratuitamente sulla piattaforma online di cui si tratta e la sottoscrizione di un abbonamento completo. Essa mira quindi a promuovere la vendita di tale contenuto e persegue dunque uno scopo commerciale. Inoltre, nella misura in cui la comunicazione in discussione, diffusa sotto forma di messaggio di posta elettronica, compare direttamente nella casella di posta in arrivo della posta elettronica privata dei suoi destinatari, la Corte giudica che essa è effettuata «a scopi di commercializzazione diretta» ( 4 ), e ciò indipendentemente dalla questione di stabilire se tale finalità possa essere dedotta unicamente dal contenuto di detta comunicazione o dalla struttura dell’offerta del mittente della medesima. La Corte indica che tale interpretazione della nozione di comunicazione effettuata «a scopi di commercializzazione diretta» è corroborata dal contesto nel quale essa s’inscrive e dagli obiettivi perseguiti dalla direttiva relativa alla vita privata e alle comunicazioni elettroniche. A questo proposito, la Corte rileva che l’articolo 13, paragrafo 1, della direttiva relativa alla vita privata e alle comunicazioni elettroniche stabilisce una regola di principio che subordina la trasmissione delle comunicazioni indesiderate rientranti nel suo ambito di applicazione al requisito di ottenere il consenso del loro destinatario. In mancanza di tale consenso, una siffatta comunicazione è autorizzata solo se sono soddisfatte le condizioni previste all’articolo 13, paragrafo 2, di detta direttiva. La disposizione in parola richiede, anzitutto, che il mittente della comunicazione di cui si tratta abbia ottenuto dai destinatari le loro coordinate elettroniche per la posta elettronica, nel contesto della vendita di un prodotto o servizio, e ciò nel rispetto della normativa dell’Unione europea in materia di protezione dei dati ( 5 ). Poi, dette coordinate elettroniche possono essere utilizzate a scopi di commercializzazione diretta, a condizione che la commercializzazione riguardi propri analoghi prodotti o servizi forniti dal mittente stesso. Infine, questo utilizzo è subordinato alla condizione che ai destinatari sia offerta in modo chiaro e distinto la possibilità di opporsi, gratuitamente e in maniera agevole, all’uso delle loro coordinate elettroniche, al momento della raccolta delle coordinate e in occasione di ogni messaggio, qualora essi non abbiano rifiutato inizialmente tale uso. Peraltro, ai sensi dell’articolo 13, paragrafo 4, della direttiva relativa alla vita privata e alle comunicazioni elettroniche è vietata la prassi di inviare messaggi di posta elettronica a scopi di commercializzazione diretta, camuffando o celando l’identità del mittente da parte del quale la comunicazione è effettuata, o in violazione della direttiva 2000/31 ( 6 ), o senza fornire un indirizzo valido cui il destinatario possa inviare una richiesta di cessazione di tali comunicazioni o ancora esortando i destinatari a visitare siti web che violino l’articolo 6 della direttiva sul commercio elettronico. La Corte precisa che l’insieme di tali garanzie è volto a realizzare gli obiettivi della direttiva relativa alla vita privata e alle comunicazioni elettroniche diretti a tutelare gli abbonati da interferenze nella loro vita privata mediante comunicazioni indesiderate a scopo di commercializzazione diretta, in particolare mediante dispositivi automatici di chiamata, telefax o posta elettronica, compresi gli SMS. Qualsiasi altra interpretazione rischierebbe di indebolire l’effetto utile dell’articolo 13 di detta direttiva e di mettere così in discussione il livello di tutela della vita privata previsto dalla medesima. Pertanto, la Corte conclude che una comunicazione come quella di cui si tratta nel procedimento principale deve essere considerata effettuata «a scopi di commercializzazione diretta», ai sensi dell’articolo 13, paragrafi 1 e 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche. In un secondo momento, la Corte esamina se le coordinate elettroniche degli utenti interessati dall’invio della lettera di informazione siano state ottenute «nel contesto della vendita di un prodotto o servizio», ai sensi dell’articolo 13, paragrafo 2, di tale direttiva. La Corte sottolinea da un lato che, secondo una definizione comunemente riconosciuta, il termine «vendita» può ricomprendere soltanto le operazioni che presuppongono il versamento di una remunerazione. Dall’altro lato, l’articolo 13, paragrafo 2, di detta direttiva non opera alcuna distinzione a seconda del tipo di prestazione di cui si tratta. In tal senso, per quanto riguarda i servizi rientranti nell’ambito di applicazione della direttiva sul commercio elettronico, la Corte ricorda che la remunerazione di un servizio fornito da un prestatore nell’ambito della sua attività economica non è necessariamente versata dai soggetti che ne fruiscono. Ciò si verifica, in particolare, nel caso in cui una prestazione effettuata a titolo gratuito sia fornita da un prestatore a fini pubblicitari per beni venduti o servizi forniti dal medesimo prestatore, dato che il costo di tale attività è così integrato nel prezzo di vendita di tali beni o di tali servizi ( 7 ). Tali considerazioni possono essere trasposte nell’ambito dell’interpretazione dell’articolo 13, paragrafo 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche. La Corte ritiene che ciò si verifichi nel caso di specie, in quanto la [OSCURATO:PERSONA] ha ottenuto le coordinate elettroniche degli utenti interessati quando questi ultimi hanno creato un conto utente gratuito sulla piattaforma online gestita da detta società. Sottoscrivendo il servizio in parola, gli utenti ottenevano il diritto di accedere gratuitamente a un certo numero di articoli apparsi nella pubblicazione di cui si tratta e di ricevere la lettera di informazione in discussione. La prestazione di un siffatto servizio ha soprattutto uno scopo pubblicitario consistente nel promuovere il contenuto a pagamento fornito dalla [OSCURATO:PERSONA], essendo il costo del servizio in parola integrato nel prezzo di detto contenuto. In tali circostanze, una remunerazione indiretta, integrata nel prezzo di vendita dell’abbonamento completo proposto da tale prestatore, come quella di cui si tratta nel procedimento principale, soddisfa il requisito inerente alla nozione di «vendita», che implica un pagamento come corrispettivo di un servizio. Di conseguenza, un’operazione come quella nell’ambito della quale la [OSCURATO:PERSONA] ha ottenuto le coordinate elettroniche di utenti può rientrare nella nozione di «vendita (…) di un servizio», ai sensi dell’articolo 13, paragrafo 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche. La Corte aggiunge che tale interpretazione è conforme al contesto in cui la nozione in parola è utilizzata e agli obiettivi perseguiti dalla normativa di cui essa fa parte. A tale riguardo, la Corte precisa sotto un primo profilo che, sebbene l’eccezione prevista all’articolo 13, paragrafo 2, di tale direttiva debba essere interpretata restrittivamente, essa non esclude la possibilità che la remunerazione richiesta per un’operazione di «vendita», ai sensi di tale disposizione, possa essere versata da una persona diversa dal beneficiario del prodotto o del servizio oggetto di tale operazione. Al contrario, dalla formulazione di detta disposizione risulta che il legislatore dell’Unione si è limitato ad imporre che le coordinate elettroniche degli utenti interessati siano ottenute «nel contesto della vendita di un prodotto o servizio». Sotto un secondo profilo, l’interpretazione dei termini dell’articolo 13, paragrafo 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche deve, in ogni caso, essere conforme all’obiettivo perseguito da tale disposizione. Pertanto, la necessità di un’interpretazione restrittiva di tale disposizione non può essere intesa nel senso che consenta un’interpretazione di detti termini che privi questi ultimi del loro effetto utile. Orbene, per quanto riguarda l’obiettivo perseguito da detta disposizione, il legislatore dell’Unione ha inteso prevedere una deroga al principio di cui all’articolo 13, paragrafo 1, quando le coordinate elettroniche degli utenti interessati sono state ottenute «nel contesto di una relazione di clientela già esistente», senza caratterizzare ulteriormente tale rapporto ( 8 ). Di conseguenza, e fatte salve le verifiche che spetta al giudice del rinvio effettuare, risulta che, nel caso di specie, è soddisfatta tanto la condizione secondo la quale le coordinate elettroniche degli utenti interessati devono essere state raccolte «nel contesto della vendita di un prodotto o servizio», tanto quella relativa al carattere analogo del servizio oggetto della commercializzazione di cui si tratta. Alla luce di quanto precede, la Corte conclude che l’articolo 13, paragrafi 1 e 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche deve essere interpretato nel senso che l’indirizzo di posta elettronica di un utente è ottenuto dall’editore di una pubblicazione online «nel contesto della vendita di un prodotto o servizio», ai sensi di tale articolo 13, paragrafo 2, qualora detto utente crei un conto utente gratuito sulla sua piattaforma online che gli conferisce il diritto di accedere gratuitamente a un certo numero di articoli della pubblicazione in parola, di ricevere gratuitamente, per posta elettronica, una lettera di informazione quotidiana contenente una sintesi di novità legislative trattate in articoli della summenzionata pubblicazione, compresi collegamenti ipertestuali a questi ultimi nonché il diritto di accedere, dietro pagamento, ad articoli e ad analisi aggiuntive di detta pubblicazione. La trasmissione di una siffatta lettera di informazione costituisce un utilizzo di posta elettronica «a scopi di commercializzazione diretta», per «analoghi prodotti o servizi», ai sensi di quest’ultima disposizione. In secondo luogo, la Corte precisa il rapporto tra la direttiva relativa alla vita privata e alle comunicazioni elettroniche e il RGPD nel contesto delle condizioni di liceità applicabili al trattamento dei dati personali effettuato nell’ambito di una comunicazione indesiderata. La Corte rileva che, secondo i termini espliciti dell’articolo 95 del RGPD, tale regolamento non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell’Unione, per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati da detta direttiva. Peraltro, dal RGDP ( 9 ) risulta altresì che è opportuno che esso si applichi a tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali con riguardo al trattamento dei dati personali che non rientrino in obblighi specifici, aventi lo stesso obiettivo, di cui alla direttiva relativa alla vita privata e alle comunicazioni elettroniche, compresi gli obblighi del titolare del trattamento e i diritti delle persone fisiche. Orbene, l’articolo 13, paragrafo 2, di tale direttiva disciplina in maniera esaustiva le condizioni e le finalità del trattamento, nonché i diritti dell’interessato. Esso assoggetta altresì il titolare del trattamento a «obblighi specifici» ai sensi dell’articolo 95 del RGPD. Di conseguenza, la liceità di un trattamento di dati personali effettuato nell’ambito di una comunicazione rientrante nell’ambito di applicazione di tale articolo 13, paragrafo 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche può essere accertata sulla base della disposizione in parola, senza che sia necessario valutarla alla luce delle condizioni di liceità previste dal RGPD ( 10 ). In considerazione di quanto precede, qualora il titolare del trattamento utilizzi l’indirizzo di posta elettronica di un utente per inviargli una comunicazione indesiderata, conformemente all’articolo 13, paragrafo 2, di tale direttiva, non sono applicabili le condizioni di liceità del trattamento previste all’articolo 6, paragrafo 1, del RGPD. ( 1 ) Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) ( GU 2002, L 201, pag. 37 ). ( 2 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 3 ) Sentenza del 25 novembre 2021, StWL [OSCURATO:PERSONA] a.d. Pegnitz ( C‑102/20 , EU:C:2021:954 , punto 47 ). ( 4 ) Ai sensi dell’articolo 13, paragrafi 1 e 2, della direttiva relativa alla vita privata e alle comunicazioni elettroniche. ( 5 ) Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( GU 1995, L 281, pag. 31 ) o, a seconda dei casi, del RGPD. ( 6 ) Direttiva 2000/31/CE del Parlamento europeo e del Consiglio, dell’8 giugno 2000, relativa a taluni aspetti giuridici dei servizi della società dell’informazione, in particolare il commercio elettronico, nel mercato interno («Direttiva sul commercio elettronico») ( GU 2000, L 178, pag. 1 ; articolo 6). ( 7 ) Sentenza del 15 settembre 2016, [OSCURATO:PERSONA] ( C‑484/14 , EU:C:2016:689 , punti 41 e 42 ). ( 8 ) Considerando 41 della direttiva relativa alla vita privata e alle comunicazioni elettroniche. ( 9 ) Considerando 173 del RGPD. ( 10 ) Articolo 6, paragrafo 1, lettere da a) a f), del RGPD.