Liste merceologiche. Divieto di consenso “omnibus”. Alcune osservazioni sul provvedimento n.114/2025 dell’Autorità Garante per la protezione dei dati personali.

Il recente provvedimento n. 114 del 27 febbraio 2025 dell’Autorità Garante per la protezione dei dati personali (d’ora in avanti anche solo “Autorità” o “Garante privacy”), si colloca in linea di continuità e, al tempo stesso, di evoluzione rispetto agli interventi già adottati dall’Autorità in materia di marketing e tutela dei dati personali. In base a quanto stabilito dal Garante privacy nel provvedimento in questione non basta più limitarsi a indicare le categorie merceologiche per la cessione dei dati a terzi per finalità di marketing: occorre "granularizzare" il consenso, permettendo agli interessati di scegliere da quali settori intendono o non intendono ricevere comunicazioni.

L’impianto argomentativo, che muove dal divieto di consensi “omnibus” per la cessione a terzi, ribadisce dunque l’importanza di un consenso pienamente informato, specifico e consapevole per ogni settore merceologico di interesse. Fino all’emanazione del provvedimento in commento, per la cessione dei dati a terzi per finalità di marketing il riferimento è stato (ed è tutt’oggi?) il provvedimento generale del 2013 recante “linee guida in materia di attività promozionale e contrasto allo spam”,  nel quale il Garante privacy aveva rilevato la necessità di fornire informazioni chiare agli interessati, ma si riteneva sufficiente un unico consenso alla cessione dati a terzi per finalità di marketing a patto di indicare le categorie merceologiche delle società/enti cui i dati sarebbero stati comunicati. Il provvedimento del 2025, invece, inquadra tale orientamento in un contesto più rigoroso, richiedendo un consenso granulare e articolato, con la conseguenza che l’indicazione generica delle categorie merceologiche dei terzi cessionari dei dati non parerebbe più pienamente aderente al principio di trasparenza di cui all’art. 5 del Regolamento (UE) 2016/679 (d’ora innanzi “GDPR” o "Regolamento") e comunque un rilascio di consenso "omnibus" per categorie merceologiche sarebbe considerato non conforme al Regolamento (cfr. art. 4 punto 11 e Considerando 32 GDPR). 

Le Linee guida n. 5/2020 dell'European Data Protection Board sul consenso, cui il provvedimento n.114 fa esplicito riferimento, hanno rimarcato la necessità di un’informazione adeguata in sede di raccolta del consenso, sottolineando come l’interessato debba essere consapevole di ogni finalità e, di riflesso, dei soggetti effettivamente coinvolti. Il Garante privacy, riallacciandosi alle Linee guida in questione, pone l’accento sulla granularità, giudicando non pienamente conformi manifestazioni di volontà cumulative e indistinte: l’interessato deve poter scegliere, in modo effettivo, le comunicazioni promozionali che desidera ricevere e, in particolare, selezionare, revocare e/o modificare i consensi sulla base del settore merceologico di riferimento.

Stante il principio espresso dal Garante privacy -per cui non sarebbe conforme il rilascio di un consenso “omnibus” alla cessione dai a terzi per finalità di marketing per le più svariate tipologie di settori merceologici - potrebbero ipotizzarsi ricadute pratiche anche sul marketing diretto per conto di terzi, estendendo la portata del principio di granularità anche a tale fattispecie. In altre parole, sarebbe sufficiente il rilascio di un consenso unico per ricevere pubblicità “omnibus” pur se da parte di un unico soggetto? Il recente arresto dell' Autorità aggiunge un ulteriore tassello a quanto prescritto nei provvedimenti di rilievo come l’ordinanza n 192 del 13 maggio 2021 nei confronti di Iren Mercato S.p.a.  e quella emessa contro SKY Italia S.r.l. nel 2021 (provvedimento 332 del 16 settembre 2021). In tali provvedimenti viene espresso il principio di invalidità del consenso rispetto a successivi trasferimenti di dati per finalità di marketing fra distinti titolari, secondo il quale un consenso inizialmente prestato dall’interessato a favore di un soggetto (per finalità di marketing di terzi) non può produrre effetto in ordine a successive cessioni dei medesimi dati a ulteriori titolari, se non espressamente e nuovamente supportato da un consenso ulteriore, specifico e informato. Laddove tale consenso aggiuntivo difetti, le nuove cessioni si pongono in contrasto dei principi di liceità e trasparenza del trattamento, essendo prive della necessaria base giuridica espressamente riferita all’identità e alle finalità del diverso titolare.

Si coglie, così, una sempre più incisiva convergenza del Garante privacy verso un modello che valorizza la specificità del consenso sia sul piano della raccolta iniziale, sia su quello delle successive utilizzazioni dei dati personali. Tale impostazione, tuttavia, potrebbe comportare effetti sul piano operativo non indifferenti per le imprese che intendano cedere i dati a terzi o trattarli per finalità di marketing per conto di soggetti ulteriori: si richiede, in particolare, un sistema di gestione dei consensi che consenta all’interessato di comprendere, fin da subito, quali siano i singoli settori merceologici destinatari della comunicazione e di operare scelte differenziate.

Le soluzioni per conformarsi al provvedimento 114/2025 comporterebbero una revisione dei moduli di raccolta del consenso con la possibilità per gli interessati di esprimere un consenso selettivo/granulare per categoria merceologica.

In conclusione, sembra evidente la portata innovativa del provvedimento 114/2025, anche rispetto al provvedimento del 2013 recante le “linee guida in materia di attività promozionale e contrasto allo spam” e le sue ricadute di natura tanto teorica quanto applicativa. Appare ancora prematuro affermare con certezza se quanto espresso nel provvedimento in commento possa assurgere a “nuovo principio generale”: sarebbe auspicabile un aggiornamento delle citale Linee guida del 2013 o magari l’emanazione di successivi provvedimenti che confermino il “nuovo” orientamento.

 Avv. Giuseppe Fiordalisi
 

Riproduzione riservata