Newsletter senza consenso? Scatta la sanzione del Garante Privacy

Cassazione civile, sez. II, ordinanza 13/06/2025 (ud. 24/04/2025) n. 15881

RILEVATO CHE:

1. Con ricorso depositato il 05/12/2016, la ITALIAN LAB Srl propose opposizione, ai sensi degli artt. 10 D.Lgs. n. 150 del 2011, 152 D.Lgs. n. 196 del 2003, avverso l'ordinanza-ingiunzione n. 308 del 13 luglio 2016 del Garante della Privacy che le intimava, ex art. 162 comma 2-bis del codice della protezione dei dati personali, il pagamento della sanzione amministrativa pecuniaria di Euro 10.000,00, per la violazione dell'art. 23 dello stesso codice.

Era stato accertato che la società effettuava un trattamento di dati personali mediante il proprio sito Internet (Omissis) consistente nella creazione di una mailing list e nell'invio ai propri utenti, tramite email, di una newsletter periodica e di informazioni di natura commerciale e promozionale relative al sito senza che fosse stato acquisito il consenso specifico dell'interessato nelle forme previste dall'articolo 23;

2. il Tribunale di Roma, nel contraddittorio del Garante, con sentenza n. 4332 del 2019, respinse l'opposizione e regolò le spese del giudizio.

In particolare, per quanto qui rileva, la sentenza afferma che vi è stato un trattamento illecito di dati personali, in violazione dell'art. 23 del codice della privacy, in assenza cioè del consenso espresso dell'interessato, in quanto non trova applicazione la condizione esonerativa di cui al successivo art. 24 comma 1 lett. b), per la quale il consenso non è richiesto quando il trattamento è necessario per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell'interessato.

Infatti, spiega la sentenza, il sito Internet (Omissis) non è un normale e-shop ma un "aggregatore di offerte", che consente agli utenti di conoscere le migliori offerte pubblicate in rete su prodotti e/o servizi di proprio interesse e ad essi territorialmente più vicini. E questo comporta che non operi l'esimente delineata dall'art. 24 comma 1 lett. b), la quale è prevista, ai sensi dell'art. 130 comma 4 del codice della privacy, nella diversa ipotesi in cui "il titolare del trattamento utilizza, ai fini di vendita diretta dei propri prodotti o servizi, le coordinate di posta elettronica fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio", circostanza, questa, che, ad avviso del Tribunale di Roma, non ricorre nella fattispecie in esame nella quale la società non vende prodotti, ma (come detto) è un "aggregatore di offerte";

3. avverso la sentenza di merito, la ITALIAN LAB Srl ha proposto ricorso per cassazione, con due motivi.

Il Garante per la protezione dei dati personali ha resistito con controricorso.

Le parti hanno depositato memorie prima dell'udienza.

CONSIDERATO CHE:

1. Il primo motivo di ricorso censura, ai sensi dell'art. 360 comma 1 n. 3 c.p.c., la violazione e/o falsa applicazione degli artt. 23,24 e 130 del D.Lgs. n. 196 del 2003; ai sensi dell'art. 360 comma 1 n. 5 c.p.c., l'"omessa, insufficiente e/o contraddittoria motivazione circa un punto decisivo della controversia".

Si sostiene che il Tribunale di Roma avrebbe errato nel non considerare che, in applicazione dell'art. 24 comma 1 lett. b) del codice della privacy, non era necessario il consenso degli interessati in quanto la ricorrente, mediante lo sporadico invio della newsletter, erogava un servizio a favore dei soli utenti che lo avessero volontariamente richiesto.

D'altra parte, la sentenza conterrebbe un vizio di motivazione per avere contraddittoriamente ignorato che, dato che il servizio di newsletter era fornito a richiesta, spettava agli utenti conferire volontariamente la propria email alla ITALIAN LAB Srl, dovendo essi a tal fine visualizzare la privacy policy del sito e, successivamente, spuntare un'apposita casella in segno di accettazione delle finalità e modalità del trattamento.

La ricorrente rimarca, altresì, che il Tribunale di Roma avrebbe commesso un errore di diritto nel non riconoscere natura contrattuale (quale condizione che esime la società dall'obbligo di ottenere il consenso al trattamento dei dati personali) al rapporto tra ITALIAN LAB Srl e gli utenti registrati sul sito Internet (Omissis), consistendo il sinallagma nello scambio tra il servizio - l'invio della newsletter informativa - erogato dalla ITALIAN LAB Srl e l'attribuzione, dall'utente alla società, del diritto ad impiegare un bene suscettibile di valutazione economica, ossia l'indirizzo email dell'interessato. Oppure, in subordine, si configurerebbe un contratto con obbligazioni del solo proponente ex art. 1333 c.c.

Per la ricorrente, infine, è certo che rendere pubblica, sul proprio sito Internet, l'intenzione di trasmettere una newsletter agli utenti costituisce una proposta contrattuale, sicché, una volta che l'utente abbia comunicato al gestore la propria accettazione, l'invio delle comunicazioni periodiche integrerebbe una specifica obbligazione contrattuale;

2. il secondo motivo censura, ai sensi degli art. 112,360 comma 1 n. 4 c.p.c., l'omessa pronuncia sulla domanda di applicazione del regime di speciale tenuità previsto dall'art. 164 bis comma 1 del codice della privacy.

La sentenza avrebbe omesso di pronunciare sulla richiesta, avanzata dalla ricorrente in via subordinata, di ridurre la sanzione pecuniaria in ragione della speciale tenuità del fatto;

3. il primo motivo, articolato in diversi rilievi critici, è in parte infondato e in parte inammissibile.

Ecco, in sintesi, la cornice normativa e giurisprudenziale di riferimento.

L'art. 23 ("Consenso") del D.Lgs. n. 196 del 2003, applicabile ratione temporis, dispone: "1. Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell'interessato. 2. Il consenso può riguardare l'intero trattamento ovvero una o più operazioni dello stesso. 3. Il consenso è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto, e se sono state rese all'interessato le informazioni di cui all'articolo 13. 4. Il consenso è manifestato in forma scritta quando il trattamento riguarda dati sensibili".

Per l'art. 24 ("Casi nei quali può essere effettuato il trattamento senza consenso"): "1. Il consenso non è richiesto […] quando il trattamento: […] b) è necessario per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell'interessato".

L'art. 130 ("Comunicazioni indesiderate") prevede, in generale, al comma 1, che: "l'uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l'intervento di un operatore per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso del contraente o utente". La norma richiede il consenso non solo per l'invio di materiale o per la vendita diretta, ma anche e più semplicemente per l'invio di generiche "comunicazioni commerciali". Ove il consenso sia richiesto per successive attività commerciali o promozionali si è già in presenza di una "comunicazione commerciale". Sempre l'art. 130, al secondo comma, puntualizza che: "la disposizione[…] si applica anche alle comunicazioni elettroniche, effettuate per le finalità ivi indicate, mediante posta elettronica, telefax, messaggi del tipo Mms (Multimedia Messaging Service) o Sms (Short Message Service) o di altro tipo". La disciplina nazionale costituisce attuazione della direttiva e-privacy 2002/58-CE, la cui finalità è quella di evitare l'utilizzo surrettizio di mezzi rivolti all'attività di marketing nonostante la mancanza di consensi esplicitamente, e anteriormente, rilasciati dai soggetti interessati.

Infine, l'art. 130, al quarto comma, così dispone: "Fatto salvo quanto previsto nel comma 1, se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell'interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni. L'interessato, al momento della raccolta e in occasione dell'invio di ogni comunicazione effettuata per le finalità di cui al presente comma, è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente".

A proposito delle newsletter, è indubitabile che l'invio periodico, da parte del "titolare" (che è il soggetto cui competono le decisioni in ordine al trattamento dei dati personali dell'"interessato"), di informazioni, notizie, aggiornamenti su argomenti specifici (eventi, promozioni, prodotti o servizi) agli interessati agli indirizzi email di questi ultimi rappresenti un trattamento di dati personali, per il quale è richiesto il consenso preventivo, libero, informato e specifico dell'interessato, ai sensi del menzionato articolo 23, salve alcune deroghe, quali (come si è visto) quelle dettate dagli articoli 24 comma 1 lett. b), 130 comma 4, che si verificano quando, nell'ambito di un rapporto contrattuale, il titolare del trattamento utilizzi i dati dell'altro contraente al fine di adempiere alle obbligazioni proprie del rapporto negoziale.

La giurisprudenza di questa Corte ha chiarito che ogni consenso in questa materia è validamente prestato solo se espresso liberamente e specificamente in riferimento a un trattamento chiaramente individuato (Cass. nn. 7555/2023, 14381/2021, 17278/2018). Il primo comma dell'art. 130 pone la regola di ordine generale che il preventivo consenso del contraente o utente ("opt-in") risulta indispensabile per l'invio da parte del titolare di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale mediante l'uso di sistemi automatizzati. Il quarto comma della stessa disposizione, individua una disciplina che si pone in rapporto di eccezione rispetto alla regola generale di cui al primo comma e riguarda l'ipotesi in cui il titolare del trattamento abbia ottenuto le coordinate elettroniche per la posta elettronica nel contesto della vendita di un prodotto. In tal caso, la medesima persona fisica o giuridica può utilizzare tali coordinate elettroniche a scopi di commercializzazione diretta di propri analoghi prodotti o servizi, a condizione che ai clienti sia offerta in modo chiaro e distinto al momento della raccolta delle coordinate elettroniche e ad ogni messaggio la possibilità di opporsi, gratuitamente e in maniera agevole, all'uso di tali coordinate elettroniche qualora il cliente non abbia rifiutato inizialmente tale uso ("opt-out"). Emerge dal tenore testuale della disposizione che l'utilizzo dei dati personali per la commercializzazione dei prodotti non richiede il consenso dell'interessato solo se acquisito "nel contesto della vendita di un prodotto o di un servizio", e che, al contrario, impone il consenso in tutte le altre ipotesi in cui l'acquisizione dei dati personali avvenga in modo e per finalità diverse. Il termine "vendita", evidentemente usato in senso tecnico, richiede che tra il titolare del trattamento ed il destinatario delle comunicazioni si sia stabilito un rapporto contrattuale a titolo oneroso nel corso del quale il compratore ha espresso il consenso alla ricezione del materiale pubblicitario.

Svolte queste premesse di carattere generale, è adesso possibile spiegare perché il primo rilievo critico del motivo è infondato.

È stato sottolineato (v. punto 2 del "Rilevato che") che il giudice di merito, con giudizio di fatto che si sottrae al sindacato di legittimità, ha stabilito che tra la ITALIAN LAB Srl e la platea degli utenti inseriti nella mailing list realizzata dalla società non esisteva alcun rapporto contrattuale in ragione del fatto che il sito Internet (Omissis) della ricorrente era un "aggregatore di offerte", ossia un sistema che raccoglie e confronta le offerte pubblicate in rete su prodotti e/o servizi di interesse degli utenti e ad essi territorialmente più vicini.

In altri termini, per il Tribunale di Roma, il sito della Italian Lab non era un e-shop, vale a dire un negozio online, inteso come un sistema di commercio elettronico dove i consumatori possono acquistare prodotti e servizi tramite Internet, ma (si ripete) un aggregatore di offerte, cioè, una piattaforma che raccoglie e mostra una vasta gamma di offerte, sconti e promozioni provenienti da diverse fonti (ad esempio: negozi online o altre piattaforme di e-commerce).

A giudizio del Tribunale di Roma, dunque, considerata la finalità del sito web della ricorrente, la registrazione degli interessati alla piattaforma (Omissis) non dava origine ad un rapporto contrattuale (sinallagmatico o con obbligazioni per il solo proponente) tra la ITALIAN LAB Srl e gli utenti.

È questo il fulcro della sentenza, la quale, in sintonia con le disposizioni del codice della privacy e con la giurisprudenza della Corte, previene alla conclusione che il trattamento, da parte della società sanzionata, dei dati degli iscritti al sito web, al fine dell'invio di newsletter di notizie commerciali, doveva essere preceduto dal consenso espresso (nella specie, mancante) degli interessati.

Sul punto è il caso di ribadire il principio di diritto, enunciato da Cass. n. 7555/2023, cit., per il quale l'art. 130, comma 4, del D.Lgs. n. 196 del 2003 va interpretato nel senso che non è necessario il consenso dell'interessato se il titolare del trattamento, ai fini della vendita diretta di propri prodotti o servizi, utilizza le coordinate di posta elettronica fornite dal destinatario nel contesto della vendita, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni; diversamente, deve essere richiesto il consenso, ai sensi del primo e del secondo comma dello stesso articolo, nell'ipotesi in cui l'interessato abbia solamente effettuato la registrazione sul sito web, abbia concluso un contratto di prova o comunque abbia concluso un contratto a titolo gratuito con il titolare del trattamento.

Il secondo rilievo critico del variegato motivo, ossia quello proposto ai sensi dell'art. 360 comma 1 n. 5 c.p.c., è inammissibile per la seguente ragione: discostandosi dall'attuale paradigma normativo, la doglianza non mette a fuoco alcun fatto "storico", principale o secondario, la cui esistenza risulti dal testo della sentenza o dagli atti processuali, che abbia costituito oggetto di discussione tra le parti e abbia carattere decisivo, vale a dire che, se esaminato, avrebbe determinato un esito diverso della controversia;

4. il secondo motivo è fondato.

Ai sensi dell'art. 162 comma 2-bis del codice della privacy, in caso di trattamento di dati personali in violazione delle disposizioni previste dallo stesso codice era comminata una sanzione pecuniaria (da Euro diecimila a Euro centoventimila) che, in base all'art. 164 bis, nei casi di minore gravità, poteva essere limitata, nei minimi e nei massimi, in misura pari a due quinti.

La sentenza impugnata, pur elencando (a pag. 3), tra i motivi di opposizione all'ordinanza-ingiunzione del Garante, la richiesta dell'opponente di irrogazione di una sanzione pecuniaria in misura ridotta, omette di statuire sul punto.

Previo annullamento in parte qua della sentenza, pertanto, si rimette al giudice di rinvio di risolvere la questione del trattamento sanzionatorio;

5. ne consegue che, accolto il secondo motivo e rigettato il primo, la sentenza è cassata in relazione al secondo motivo, con rinvio al giudice a quo, anche per le spese del giudizio di cassazione.

P.Q.M.

La Corte accoglie il secondo motivo di ricorso, rigetta il primo motivo, cassa la sentenza impugnata in relazione al secondo motivo, rinvia al Tribunale di Roma, in persona di altro magistrato, anche per la statuizione sulle spese del giudizio di cassazione.

Così deciso in Roma, nella camera di consiglio della Seconda Sezione Civile, in data 24 aprile 2025.

Depositato in Cancelleria il 13 giugno 2025.