In data 17 settembre 2026 l’Avvocato generale D. Spielmann ha presentato le proprie conclusioni nella causa C-317/25 Commission nationale de l’informatique e des libertés (CNIL) istaurata presso la Corte di Giustizia dell’UE, avente ad oggetto la validità del consenso prestato a un’impresa affinché i propri partner possano utilizzare i dati personali degli interessati per finalità di marketing diretto, anche quando l’identità di tali partner non sia nota al momento della raccolta del consenso degli interessati.
L’Avvocato Generale, nel caso di specie, così risponde dalla questione lui sottoposta “l’articolo 4, punto 11, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, in combinato disposto con gli articoli 13 e 14 del medesimo regolamento e con l’articolo 13 della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche, dev’essere interpretato nel senso che: il consenso dell’interessato, dato a un primo operatore del trattamento, a che i suoi dati siano utilizzati da una categoria di destinatari, designati come i «partner» del primo operatore del trattamento, ma la cui identità non era nota all’interessato nel momento in cui ha espresso il proprio consenso al primo operatore del trattamento, non può essere considerato come un consenso informato che consenta a chiunque appartenga a tale categoria di procedere ad operazioni di commercializzazione con mezzi elettronici senza aver bisogno di sollecitare un nuovo consenso degli interessati prima di poter procedere presso di essi a siffatte operazioni di commercializzazione”.
In particolare, nel caso di specie, una società realizzava operazioni di commercializzazione con mezzi elettronici nei confronti di soggetti i cui dati era stati precedentemente acquisiti da due fornitori di accesso a Internet.
Tali fornitori avevano invitato i loro abbonati a selezionare una casella in un modulo di raccolta del consenso all’utilizzo dei dati personali per finalità di commercializzazione diretta da parte dei loro “partner”. Tali soggetti ulteriori non erano, però, stati identificati nominativamente.
Il Consiglio di Stato francese, investito della questione, ha chiesto dalla Corte di Giustizia UE se il consenso prestato al primo operatore del trattamento consentisse ad altri soggetti “partner”, non specificamente individuati, di realizzate campagne di marketing diretto.
L’Avvocato Generale, in tale contesto, ricorda innanzitutto che l’art. 13 par. 1 della Direttiva 2002/58, rubricato “comunicazioni indesiderate”, richieda la necessità del consenso dell’interessato. Tale disposizione, che alla luce del considerando 173 GDPR ne costituisce lex specialis, tende a tutelare gli interessati da interferenze nella loro vita privata.
Tale consenso, per essere valido, deve essere informato. In particolare, ai sensi dell’art. 1 punto 11 del GDPR, il consenso consiste nella “manifestazione di volontà libera, specifica, informata e inequivocabile” espresso tramite un’“azione positiva inequivocabile”.
Il consenso è informato nel momento in cui l’interessato ha ottenuto le informazioni riguardanti tutte le circostanze relative al trattamento dei dati in forma comprensibile e accessibile. Tra queste informazioni si evidenziano il tipo di dati, la durata e le modalità del trattamento, le finalità perseguite e l’identità del titolare del trattamento.
La violazione di tali diritto può comportare l’illiceità del trattamento ex art. 5 par. 1 GDPR.
In merito alla portata del consenso espresso nel caso in oggetto, secondo l’Avvocato Generale, perché il consenso sia legittimo l’interessato deve essere informato dell’identità del titolare del trattamento di commercializzazione diretta, non bastando la semplice indicazione di “partner”. In assenza di tale indicazione, il trattamento non può iniziare senza un nuovo consenso debitamente informato.
L’art. 13 par. 1 della Direttiva 2002/58 implica un previo consenso che deve essere esaminato con riferimento ai requisiti di cui all’art. 14 GDPR nell’ipotesi in cui i dati siano stati raccolti in modo indiretto.
L’art. 14 par. 3 lett. b) GDPR prevede che, nel caso in cui i dati personali siano destinati alla comunicazione con l’interessato, il titolare del trattamento debba fornire le informazioni previste, tra cui l’identità del titolare del trattamento, al più tardi al momento della prima comunicazione a tale persona.
Ai sensi dei principi di trasparenza e correttezza del trattamento dei dati personali, previsti all’art. 5 par. 1 lett. a) GDPR, letti alla luce dei considerando 60 e 61 GDPR, gli interessati devono essere informati il più presto possibile delle modifiche concernenti la categoria dei destinatari dei loro dati.
Alla luce di quanto sopra, l’Avvocato Generale, ritiene che nel caso di specie, per il trattamento dei medesimi dati da parte di soggetti terzi fosse necessario un ulteriore e previo consenso da parte dell’interessato al diverso titolare del trattamento di commercializzazione (partner), rispetto a quello che ha raccolto il consenso originario (fornitore).
