Corte di giustizia dell'Unione Europea
Prima Sezione
Sentenza 13 novembre 2025
Presidente: Biltgen - Relatrice: Ziemele
«Rinvio pregiudiziale - Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche - Direttiva 2002/58/CE - Articolo 13, paragrafi 1 e 2 - Comunicazioni indesiderate - Nozione di comunicazione effettuata "a scopi di commercializzazione diretta" - Ottenimento di coordinate elettroniche "nel contesto della vendita di un prodotto o servizio" - Iscrizione su una piattaforma online che dà accesso a un contenuto aggiuntivo - Invio per posta elettronica di una lettera di informazione quotidiana - Regolamento (UE) 2016/679 - Articolo 6 - Liceità del trattamento - Articolo 95 - Rapporto con la direttiva 2002/58».
Nella causa C‑654/23, avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell'articolo 267 TFUE, dalla Curtea de Apel Bucureşti (Corte d'appello di Bucarest, Romania), con decisione del 20 marzo 2023, pervenuta in cancelleria il 2 novembre 2023, nel procedimento Inteligo Media SA contro Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).
[...]
1. La domanda di pronuncia pregiudiziale verte sull'interpretazione dell'articolo 13, paragrafi 1 e 2, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU 2002, L 201, pag. 37), come modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009 (GU 2009, L 337, pag. 11) (in prosieguo: la «direttiva 2002/58»), nonché dell'articolo 6, paragrafo 1, dell'articolo 83, paragrafo 2, e dell'articolo 95 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»), in combinato disposto con l'articolo 15, paragrafo 2, della direttiva 2002/58.
2. Tale domanda è stata presentata nell'ambito di una controversia tra la Inteligo Media SA e l'Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) [autorità nazionale di controllo per il trattamento dei dati personali (ANSPDCP), Romania] relativamente alla sanzione amministrativa inflitta a detta società per il motivo che essa avrebbe trattato taluni dati personali dei suoi clienti senza il loro consenso.
Contesto normativo
Diritto dell'Unione
Direttiva 2002/58
3. I considerando 2, 10, 40 e 41 della direttiva 2002/58 così recitano:
«(2) La presente direttiva mira a rispettare i diritti fondamentali e si attiene ai principi riconosciuti in particolare dalla Carta dei diritti fondamentali dell'Unione europea. In particolare, la presente direttiva mira a garantire il pieno rispetto dei diritti di cui agli articoli 7 e 8 di tale Carta.
(...)
(10) Nel settore delle comunicazioni elettroniche trova applicazione la direttiva 95/46/CE [del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31)], in particolare per quanto riguarda tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali non specificamente disciplinati dalle disposizioni della presente direttiva, compresi gli obblighi del responsabile e i diritti delle persone fisiche. (...)
(...)
(40) Occorre prevedere misure per tutelare gli abbonati da interferenze nella loro vita privata mediante comunicazioni indesiderate a scopo di commercializzazione diretta, in particolare mediante dispositivi automatici di chiamata, telefax o posta elettronica, compresi i messaggi SMS. Tali forme di comunicazioni commerciali indesiderate possono da un lato essere relativamente facili ed economiche da inviare e dall'altro imporre un onere e/o un costo al destinatario. Inoltre, in taluni casi il loro volume può causare difficoltà per le reti di comunicazione elettronica e le apparecchiature terminali. Per tali forme di comunicazioni indesiderate a scopo di commercializzazione diretta è giustificato prevedere che le relative chiamate possano essere inviate ai destinatari solo previo consenso esplicito di questi ultimi. Il mercato unico prevede un approccio armonizzato per garantire norme semplici a livello comunitario per le aziende e gli utenti.
(41) Nel contesto di una relazione di clientela già esistente è ragionevole consentire l'uso delle coordinate elettroniche per offrire prodotti o servizi analoghi, ma unicamente da parte della medesima società che ha ottenuto le coordinate elettroniche a norma della direttiva 95/46/CE. Allorché tali coordinate sono ottenute, il cliente dovrebbe essere informato sul loro uso successivo a scopi di commercializzazione diretta in maniera chiara e distinta, ed avere la possibilità di rifiutare tale uso. Tale opportunità dovrebbe continuare ad essere offerta gratuitamente per ogni successivo messaggio a scopi di commercializzazione diretta, ad eccezione degli eventuali costi relativi alla trasmissione del suo rifiuto».
4. L'articolo 1 della direttiva 2002/58, intitolato «Finalità e campo d'applicazione», ai paragrafi 1 e 2, dispone quanto segue:
«1. La presente direttiva prevede l'armonizzazione delle disposizioni nazionali necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all'interno della Comunità.
2. Ai fini di cui al paragrafo 1, le disposizioni della presente direttiva precisano e integrano la direttiva 95/46/CE. Esse prevedono inoltre la tutela dei legittimi interessi degli abbonati che sono persone giuridiche».
5. L'articolo 2 della direttiva 2002/58, intitolato «Definizioni», al secondo comma prevede quanto segue:
«Si applicano inoltre le seguenti definizioni:
(...)
d) "comunicazione": ogni informazione scambiata o trasmessa tra un numero finito di soggetti tramite un servizio di comunicazione elettronica accessibile al pubblico. Sono escluse le informazioni trasmesse, come parte di un servizio di radiodiffusione, al pubblico tramite una rete di comunicazione elettronica salvo quando le informazioni possono essere collegate all'abbonato o utente che riceve le informazioni che può essere identificato;
(...)
h) "posta elettronica": messaggi contenenti testi, voci, suoni o immagini trasmessi attraverso una rete pubblica di comunicazione, che possono essere archiviati in rete o nell'apparecchiatura terminale ricevente fino a che il ricevente non ne ha preso conoscenza;
(...)».
6. Ai sensi dell'articolo 13 di tale direttiva, intitolato «Comunicazioni indesiderate»:
«1. L'uso di sistemi automatizzati di chiamata e di comunicazione senza intervento di un operatore (dispositivi automatici di chiamata), del telefax o della posta elettronica a fini di commercializzazione diretta è consentito soltanto nei confronti degli abbonati o degli utenti che abbiano espresso preliminarmente il loro consenso.
2. Fatto salvo il paragrafo 1, allorché una persona fisica o giuridica ottiene dai suoi clienti le coordinate elettroniche per la posta elettronica nel contesto della vendita di un prodotto o servizio ai sensi della direttiva 95/46/CE, la medesima persona fisica o giuridica può utilizzare tali coordinate elettroniche a scopi di commercializzazione diretta di propri analoghi prodotti o servizi, a condizione che ai clienti sia offerta in modo chiaro e distinto la possibilità di opporsi, gratuitamente e in maniera agevole, all'uso di tali coordinate elettroniche al momento della raccolta delle coordinate e in occasione di ogni messaggio, qualora il cliente non abbia rifiutato inizialmente tale uso.
(...)
4. In ogni caso, è vietata la prassi di inviare messaggi di posta elettronica a scopi di commercializzazione diretta, camuffando o celando l'identità del mittente da parte del quale la comunicazione è effettuata, o in violazione dell'articolo 6 della direttiva 2000/31/CE [del Parlamento europeo e del Consiglio, dell'8 giugno 2000, relativa a taluni aspetti giuridici dei servizi della società dell'informazione, in particolare il commercio elettronico, nel mercato interno ("Direttiva sul commercio elettronico") (GU 2000, L 178, pag. 1)], o senza fornire un indirizzo valido cui il destinatario possa inviare una richiesta di cessazione di tali comunicazioni o ancora esortando i destinatari a visitare siti web che violino il predetto articolo.
(...)».
Il RGPD
7. Il considerando 173 del RGPD così recita:
«È opportuno che il presente regolamento si applichi a tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali con riguardo al trattamento dei dati personali che non rientrino in obblighi specifici, aventi lo stesso obiettivo, di cui alla [direttiva 2002/58], compresi gli obblighi del titolare del trattamento e i diritti delle persone fisiche. Per chiarire il rapporto tra il presente regolamento e la [direttiva 2002/58], è opportuno modificare quest'ultima di conseguenza. Una volta adottato il presente regolamento, la [direttiva 2002/58] dovrebbe essere riesaminata in particolare per assicurare la coerenza con il presente regolamento».
8. L'articolo 5 di tale regolamento, intitolato «Principi applicabili al trattamento di dati personali», al paragrafo 1 così dispone:
«I dati personali sono:
a) trattati in modo lecito, corretto e trasparente nei confronti dell'interessato ("liceità, correttezza e trasparenza");
b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all'articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali ("limitazione della finalità");
(...)».
9. L'articolo 6 di detto regolamento, intitolato «Liceità del trattamento», al paragrafo 1, primo comma, prevede quanto segue:
«Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a) l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
b) il trattamento è necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso;
(...)
f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se l'interessato è un minore
(...)».
10. L'articolo 7 del medesimo regolamento, intitolato «Condizioni per il consenso», è così formulato:
«1. Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso al trattamento dei propri dati personali.
2. Se il consenso dell'interessato è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso è presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro. Nessuna parte di una tale dichiarazione che costituisca una violazione del presente regolamento è vincolante.
(...)
4. Nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l'eventualità, tra le altre, che l'esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all'esecuzione di tale contratto».
11. Ai sensi dell'articolo 83 del RGPD, intitolato «Condizioni generali per infliggere sanzioni amministrative pecuniarie»:
«1. Ogni autorità di controllo provvede affinché le sanzioni amministrative pecuniarie inflitte ai sensi del presente articolo in relazione alle violazioni del presente regolamento di cui ai paragrafi 4, 5 e 6 siano in ogni singolo caso effettive, proporzionate e dissuasive.
2. Le sanzioni amministrative pecuniarie sono inflitte, in funzione delle circostanze di ogni singolo caso, in aggiunta alle misure di cui all'articolo 58, paragrafo 2, lettere da a) a h) e j), o in luogo di tali misure. Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l'ammontare della stessa in ogni singolo caso si tiene debito conto dei seguenti elementi:
a) la natura, la gravità e la durata della violazione tenendo in considerazione la natura, l'oggetto o a finalità del trattamento in questione nonché il numero di interessati lesi dal danno e il livello del danno da essi subito;
b) il carattere doloso o colposo della violazione;
c) le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati;
d) il grado di responsabilità del titolare del trattamento o del responsabile del trattamento tenendo conto delle misure tecniche e organizzative da essi messe in atto ai sensi degli articoli 25 e 32;
e) eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento o dal responsabile del trattamento;
f) il grado di cooperazione con l'autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi;
g) le categorie di dati personali interessate dalla violazione;
h) la maniera in cui l'autorità di controllo ha preso conoscenza della violazione, in particolare se e in che misura il titolare del trattamento o il responsabile del trattamento ha notificato la violazione;
i) qualora siano stati precedentemente disposti provvedimenti di cui all'articolo 58, paragrafo 2, nei confronti del titolare del trattamento o del responsabile del trattamento in questione relativamente allo stesso oggetto, il rispetto di tali provvedimenti;
j) l'adesione ai codici di condotta approvati ai sensi dell'articolo 40 o ai meccanismi di certificazione approvati ai sensi dell'articolo 42; e
k) eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso, ad esempio i benefici finanziari conseguiti o le perdite evitate, direttamente o indirettamente, quale conseguenza della violazione.
(...)
5. In conformità del paragrafo 2, la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a [EUR] 20 000 000 (...), o per le imprese, fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore:
a) i principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9;
(...)».
12. L'articolo 95 di tale regolamento, intitolato «Rapporto con la [direttiva 2002/58]», stabilisce quanto segue:
«Il presente regolamento non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell'Unione [europea], per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla [direttiva 2002/58]».
Direttiva 2000/31
13. L'articolo 2 della direttiva 2000/31, intitolato «Definizioni», così prevede:
«Ai fini della presente direttiva valgono le seguenti definizioni:
(...)
f) "comunicazioni commerciali": tutte le forme di comunicazione destinate, in modo diretto o indiretto, a promuovere beni, servizi o l'immagine di un'impresa, di un'organizzazione o di una persona che esercita un'attività commerciale, industriale, artigianale o una libera professione. Non sono di per sé comunicazioni commerciali:
- le indicazioni necessarie per accedere direttamente all'attività di tale impresa, organizzazione o persona, come un nome di dominio ("domain name") o un indirizzo di posta elettronica,
- le comunicazioni relative a beni, servizi o all'immagine di tale impresa, organizzazione o persona elaborate in modo da essa indipendente, in particolare se a titolo gratuito;
(...)».
14. L'articolo 6 di tale direttiva, intitolato «Informazioni da fornire», così dispone:
«Oltre agli altri obblighi di informazione posti dal diritto comunitario, gli Stati membri provvedono affinché le comunicazioni commerciali che costituiscono un servizio della società dell'informazione o ne sono parte integrante rispettino le seguenti condizioni minime:
a) la comunicazione commerciale è chiaramente identificabile come tale;
b) la persona fisica o giuridica per conto della quale viene effettuata la comunicazione commerciale à chiaramente identificabile;
c) le offerte promozionali, come ribassi, premi od omaggi, qualora permesse dallo Stato membro in cui è stabilito il prestatore, devono essere chiaramente identificabili come tali; le condizioni per beneficiarne devono essere facilmente accessibili e presentate in modo chiaro e inequivocabile;
d) i concorsi o giochi promozionali, qualora siano permessi dallo Stato membro in cui è stabilito il prestatore, devono essere chiaramente identificabili come tali; le condizioni di partecipazione devono essere facilmente accessibili e presentate in modo chiaro ed inequivocabile».
Diritto rumeno
Legge n. 506/2004
15. L'articolo 1, paragrafi 2 e 3, della Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice (legge n. 506/2004 relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche), del 17 novembre 2004 (Monitorul Oficial al României, parte I, n. 1101 del 25 novembre 2004), stabilisce quanto segue:
«2. Le disposizioni della presente legge si applicano al trattamento dei dati personali connesso alla fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti di comunicazione elettronica, comprese le reti di comunicazione elettronica che supportano i dispositivi di raccolta e di identificazione dei dati.
3. Le disposizioni della presente legge sono integrate dalle disposizioni della Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date [(legge n. 677/2001 relativa alla tutela delle persone riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati), del 21 novembre 2001 (Monitorul Oficial al României, parte I, n. 790 del 12 dicembre 2001)]».
16. L'articolo 2 della legge n. 506/2004, ai paragrafi 1 e 2, prevede quanto segue:
«1. Ai fini della presente legge, si intende per:
(...)
d) comunicazione - ogni informazione scambiata o trasmessa tra un numero determinato di partecipanti tramite un servizio di comunicazione elettronica accessibile al pubblico; sono escluse le informazioni trasmesse al pubblico tramite una rete di comunicazione elettronica nell'ambito di un servizio di programmi audiovisivi, nella misura in cui non può essere stabilito un collegamento fra l'informazione di cui si tratta e l'abbonato o utente che la riceve;
(...)
2. Le definizioni di cui (...) all'articolo 1, punti 1 e 8, della Legea nr. 365/2002 privind comerțul electronic [(legge n. 365/2002 relativa al commercio elettronico), del 7 giugno 2002 (ripubblicata nel Monitorul Oficial al României, parte I, n. 959 del 29 novembre 2006),] (...) si applicano anche alla presente legge».
17. Ai sensi dell'articolo 12, paragrafi 1 e 2, della legge n. 506/2004:
«1. È vietato l'invio di comunicazioni commerciali utilizzando sistemi automatizzati di chiamata e di comunicazione che non richiedono l'intervento di un operatore umano, via fax o mediante posta elettronica o con qualsiasi altro metodo che utilizzi i servizi di comunicazione elettronica accessibili al pubblico, ad eccezione del caso in cui l'abbonato o l'utente interessato ha manifestato preliminarmente il proprio consenso espresso per ricevere comunicazioni del genere.
2. Fatte salve le disposizioni del paragrafo 1, se una persona fisica o giuridica ottiene in modo diretto l'indirizzo di posta elettronica di un cliente, al momento della vendita a detta persona di un prodotto o servizio, conformemente alla legge n. 677/2001, la persona fisica o giuridica di cui si tratta può utilizzare il rispettivo indirizzo, al fine di effettuare comunicazioni commerciali relative a prodotti o servizi analoghi commercializzati da tale persona, a condizione che ai clienti sia offerta in modo chiaro ed espresso la possibilità di opporsi a un siffatto uso in modo agevole e gratuito, tanto al momento dell'ottenimento dell'indirizzo di posta elettronica, quanto in occasione di ogni messaggio, qualora il cliente non si sia opposto inizialmente».
18. L'articolo 13, paragrafi 1, 2 e 5, della legge n. 506/2004 così recita:
«1. Costituiscono illeciti amministrativi i seguenti fatti:
(...)
q) l'inosservanza delle disposizioni dell'articolo 12 relative alle comunicazioni indesiderate.
2. Gli illeciti amministrativi di cui al paragrafo 1, lettere da a) a l), n), o) e q), sono passibili di una sanzione pecuniaria da 5 000 [lei rumeni (RON) (circa EUR 984)] a [RON] 100 000 [(circa EUR 19 697)] e, per le società commerciali il cui fatturato è superiore a [RON] 5 000 000 [(circa EUR 984 892)], (...) di una sanzione pecuniaria fino al 2% del fatturato.
(...)
5. L'accertamento degli illeciti amministrativi di cui al paragrafo 1, lettere da a) a j) e da l) a q), e l'applicazione delle sanzioni sono effettuati dal personale dell'ANSPDCP abilitato a tal fine».
Legge n. 365/2002
19. L'articolo 1, punto 8, della legge n. 365/2002 prevede quanto segue:
«Ai fini della presente legge, si intende per:
(...)
8. comunicazioni commerciali - qualsiasi forma di comunicazione destinata, in modo diretto o indiretto, a promuovere prodotti, servizi, l'immagine, il nome o la denominazione, la firma o il logo di un professionista o di un membro di una professione regolamentata; non costituiscono di per sé comunicazioni commerciali: le informazioni che consentono di accedere direttamente all'attività di una persona fisica o giuridica, in particolare un nome di dominio o un indirizzo di posta elettronica, le comunicazioni relative a prodotti, servizi, immagini, nomi o marchi di una persona fisica o giuridica, effettuate da un terzo indipendente da tale persona, in particolare se effettuate a titolo gratuito».
Procedimento principale e questioni pregiudiziali
20. La Inteligo Media è l'editore della pubblicazione di carattere giornalistico online avvocatnet.ro, destinata all'informazione del grande pubblico, non specializzato nel settore giuridico, sulle modifiche legislative che intervengono quotidianamente in Romania.
21. Il 27 luglio 2018 tale società ha introdotto, con la denominazione commerciale «Servizio Premium», un sistema di abbonamento a pagamento per una parte del contenuto fornito ai suoi lettori. Alla data dei fatti di cui al procedimento principale, detta società consentiva la visualizzazione gratuita, da parte di qualsiasi utente, di un numero massimo di sei articoli al mese. Per accedere ad articoli aggiuntivi, l'utente interessato doveva, in un primo tempo, creare un conto utente (account) gratuito sulla piattaforma online di cui si tratta, il che implicava l'accettazione, da parte di tale utente, delle condizioni contrattuali di fornitura del «Servizio Premium». Iscrivendosi a questo servizio, detto utente otteneva il diritto di accedere gratuitamente a due articoli aggiuntivi al mese, di ricevere gratuitamente, per posta elettronica, la lettera di informazione (newsletter) quotidiana, intitolata «Personal Update», contenente una panoramica degli sviluppi legislativi del giorno precedente, con collegamenti ipertestuali agli articoli pertinenti disponibili su tale piattaforma, nonché il diritto di accedere, in modo opzionale e dietro pagamento, a tutti gli articoli della pubblicazione e di ricevere, per posta elettronica, la versione integrale della summenzionata lettera, intitolata «Sintesi informative».
22. Al momento della creazione del conto utente in parola, gli utenti potevano scegliere di non ricevere la lettera di informazione «Personal Update», contrassegnando la casella «Non voglio ricevere "Personal Update"» del modulo online che doveva essere compilato a tal fine. Analogamente, ogni volta che ricevevano detta lettera, gli utenti che non intendevano più riceverla potevano premere il pulsante «ANNULLAMENTO DELL'ABBONAMENTO».
23. Il 26 settembre 2019 l'ANSPDCP ha redatto un verbale di accertamento di illecito amministrativo, con il quale ha inflitto alla Inteligo Media una sanzione pecuniaria di importo pari a RON 42 714 (circa EUR 9 000) per violazione dell'articolo 5, paragrafo 1, lettere a) e b), dell'articolo 6, paragrafo 1, lettera a), e dell'articolo 7 del RGPD. L'ANSPDCP ha ritenuto che la società in parola non avesse potuto dimostrare l'ottenimento del consenso esplicito di 4 357 utenti al trattamento dei loro dati personali (posta elettronica, password, nome utente) e che essa avesse trattato tali dati in modo incompatibile con la finalità per la quale erano stati inizialmente raccolti. Infatti, detti dati, inizialmente raccolti ai fini dell'esecuzione del contratto di cui è causa, sarebbero stati trattati ai fini della trasmissione della lettera di informazione «Personal Update».
24. La Inteligo Media ha presentato al Tribunalul București (Tribunale superiore di Bucarest, Romania) una domanda diretta, in via principale, all'annullamento del summenzionato verbale.
25. A sostegno della sua domanda, la Inteligo Media ha affermato, segnatamente, che, a causa del suo contenuto essenzialmente editoriale, la lettera di informazione «Personal Update» non soddisfaceva le condizioni previste dalla legge per essere qualificata come «comunicazione commerciale». Tuttavia, per precauzione, il trattamento di dati personali a seguito della trasmissione di detta lettera di informazione sarebbe stato fondato sull'articolo 12, paragrafo 2, della legge n. 506/2004, che recepisce l'articolo 13, paragrafo 2, della direttiva 2002/58 nel diritto rumeno, e sull'articolo 6, paragrafo 1, lettera f), del RGPD. La società in parola avrebbe così dato agli utenti il diritto di opporsi alla ricezione della succitata lettera di informazione nonché il diritto di annullare l'abbonamento dopo la ricezione di una lettera.
26. Con sentenza di primo grado del 5 giugno 2020, il Tribunalul București (Tribunale superiore di Bucarest) ha respinto la summenzionata domanda, accogliendo gli argomenti dedotti dall'ANSPDCP.
27. Con sentenza del 15 aprile 2021, la Curtea de Apel București (Corte d'appello di Bucarest, Romania), statuendo sull'appello interposto dalla Inteligo Media avverso suddetta sentenza di primo grado, ha annullato quest'ultima e ha rinviato la causa dinanzi al Tribunalul București (Tribunale superiore di Bucarest) affinché esso statuisse nuovamente, con la motivazione che quest'ultimo giudice non aveva sufficientemente motivato detta sentenza di primo grado.
28. Dopo il riesame, con sentenza di primo grado del 15 dicembre 2021, il Tribunalul București (Tribunale superiore di Bucarest) ha parzialmente accolto la domanda della Inteligo Media e ha ridotto l'importo della sanzione pecuniaria inflittale dall'ANSPDCP. Esso ha tuttavia confermato l'accertamento dell'illecito amministrativo figurante nel relativo verbale del 26 settembre 2019.
29. Investita degli appelli proposti avverso tale sentenza di primo grado dalla Inteligo Media e dall'ANSPDCP, la Curtea de Apel București (Corte d'appello di Bucarest), giudice del rinvio, ritiene che la soluzione della controversia di cui al procedimento principale dipenda dall'individuazione del fondamento giuridico del trattamento dei dati personali di cui è causa nel procedimento principale e dalle condizioni che devono essere soddisfatte affinché un siffatto trattamento possa essere considerato lecito, alla luce della direttiva 2002/58 e del RGPD.
30. Secondo il summenzionato giudice, è necessario chiarire, anzitutto, sotto un primo profilo, le condizioni alle quali l'indirizzo di posta elettronica di un utente può essere considerato ottenuto «nel contesto della vendita di un prodotto o servizio», ai sensi dell'articolo 13, paragrafo 2, della direttiva 2002/58, sotto un secondo profilo, la portata della nozione di «commercializzazione diretta», contenuta in tale articolo 13, e, sotto un terzo profilo, la questione se detta nozione sia equivalente a quella di «comunicazioni commerciali», utilizzata dal legislatore rumeno in sede di recepimento di detto articolo 13.
31. Poi, nell'ipotesi in cui, nella fattispecie, gli indirizzi di posta elettronica degli utenti non fossero stati ottenuti «nel contesto della vendita di un prodotto o servizio», ai sensi dell'articolo 13, paragrafo 2, della direttiva 2002/58, occorrerebbe stabilire se la trasmissione per posta elettronica della lettera «Personal Update» rientri nell'ambito di applicazione dell'articolo 13, paragrafo 1, di detta direttiva nonché delle disposizioni che sanzionano un'eventuale violazione di quest'ultimo.
32. Infine, il giudice del rinvio ritiene necessario precisare gli obblighi spettanti a un'autorità di controllo quando applica l'articolo 83, paragrafo 2, del RGPD, nella misura in cui essi non risulterebbero chiaramente dalla formulazione della disposizione in parola.
33. Date tali circostanze, la Curtea de Apel București (Corte d'appello di Bucarest) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1) Nel caso in cui un editore di pubblicazioni di carattere giornalistico online di informazione al grande pubblico, non specializzato nel settore, per quanto riguarda le modifiche legislative rese note quotidianamente in Romania, ottenga l'indirizzo e-mail di un utente al momento della creazione da parte di quest'ultimo, a titolo gratuito, di un account utente che gli conferisce la facoltà: i) di accedere, a titolo gratuito, a un numero aggiuntivo di articoli rispetto alla pubblicazione di cui trattasi; ii) di ricevere, via e-mail, un'informazione quotidiana contenente una sintesi delle novità legislative trattate in articoli all'interno della pubblicazione e degli hyperlink ai rispettivi articoli e iii) di accedere, a pagamento, ad articoli e ad analisi aggiuntivi e/o più ampi della pubblicazione rispetto all'informazione quotidiana trasmessa gratuitamente:
a) se tale indirizzo e-mail sia ottenuto dall'editore di pubblicazioni di carattere giornalistico online "nel contesto della vendita di un prodotto o servizio", ai sensi dell'articolo 13, paragrafo 2, della [direttiva 2002/58];
b) se la trasmissione da parte dell'editore di pubblicazioni di un'informazione come quella descritta al punto ii) sia effettuata "a scopi di commercializzazione diretta di propri analoghi prodotti o servizi", ai sensi dell'articolo 13, paragrafo 2, della [direttiva 2002/58].
2) In caso di risposte affermative alla questione n. 1, lettere a) e b), quali condizioni, tra quelle previste dall'articolo 6, paragrafo 1, lettere da a) ad f) del [RGPD] devono essere interpretate come applicabili quando l'editore utilizza l'indirizzo e-mail dell'utente ai fini della trasmissione di un'informazione quotidiana come quella descritta nella questione n. 1, punto ii), conformemente ai requisiti previsti dall'articolo 13, paragrafo 2, della [direttiva 2002/58].
3) Se l'articolo 13, paragrafo 1 e paragrafo 2, della [direttiva 2002/58] debba essere interpretato nel senso che esso osta a una normativa nazionale che utilizza la nozione di "comunicazioni commerciali" prevista dall'articolo 2, lettera f), della [direttiva 2000/31] al posto della nozione di «commercializzazione diretta» prevista dalla direttiva 2002/58. In caso di risposta negativa, se un'informazione come quella descritta nella questione n. 1, punto ii), costituisca "comunicazion[e] commercial[e]" ai sensi dell'articolo 2, lettera f), della [direttiva 2000/31].
4) Qualora le risposte alla questione n. 1), lettere a) e b) siano negative:
a) se la trasmissione via e-mail di un'informazione quotidiana come quella descritta nella precedente questione n. 1, punto ii), costituisca "uso (...) della posta elettronica a fini di commercializzazione diretta" ai sensi dell'articolo 13, paragrafo 1, della [direttiva 2002/58]; in particolare
b) se l'articolo 95 del [RGPD], in combinato disposto con l'articolo 15, paragrafo 2, della direttiva 2002/58, debba essere interpretato nel senso che l'inosservanza delle condizioni relative all'ottenimento di un valido consenso dell'utente ai sensi dell'articolo 13, paragrafo 1, della [direttiva 2002/58] sarà sanzionata conformemente all'articolo 83 del [RGPD] oppure conformemente alle disposizioni del diritto nazionale contenute nell'atto di trasposizione della [direttiva 2002/58] il quale, dal canto suo, contiene sanzioni applicabili specifiche;
5) Se l'articolo 83, paragrafo 2, del [RGPD] debba essere interpretato nel senso che un'autorità di controllo che decide se infliggere una sanzione amministrativa pecuniaria e che fissa l'ammontare di tale sanzione amministrativa in ogni singolo caso sia tenuta ad analizzare e a spiegare nell'atto amministrativo sanzionatorio l'impatto di ciascuno dei criteri previsti dalle lettere da a) a k) sulla decisione di infliggere una sanzione amministrativa, e rispettivamente sulla decisione relativa all'importo della sanzione amministrativa pecuniaria applicata».
Sulle questioni pregiudiziali
Sulla prima questione e sulla quarta questione, lettera a)
34. Con la sua prima questione e la sua quarta questione, lettera a), che occorre esaminare congiuntamente, il giudice del rinvio chiede, in sostanza, se l'articolo 13, paragrafi 1 e 2, della direttiva 2002/58 debba essere interpretato nel senso che l'indirizzo di posta elettronica di un utente è ottenuto dall'editore di una pubblicazione online «nel contesto della vendita di un prodotto o servizio», ai sensi di tale articolo 13, paragrafo 2, qualora detto utente crei un conto utente gratuito sulla sua piattaforma online che gli conferisce il diritto di accedere gratuitamente a un certo numero di articoli della pubblicazione in parola, di ricevere gratuitamente, per posta elettronica, una lettera di informazione quotidiana contenente una sintesi di novità legislative trattate in articoli della summenzionata pubblicazione, compresi collegamenti ipertestuali a questi ultimi nonché il diritto di accedere, dietro pagamento, ad articoli e ad analisi aggiuntive di detta pubblicazione, e che la trasmissione di una siffatta lettera di informazione costituisce un utilizzo di posta elettronica «a scopi di commercializzazione diretta», per «analoghi prodotti o servizi», ai sensi di quest'ultima disposizione.
35. Al fine di rispondere a tali questioni, occorre ricordare che, ai sensi dell'articolo 1, paragrafo 1, della direttiva 2002/58, la medesima prevede, segnatamente, l'armonizzazione delle disposizioni nazionali necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche.
36. L'articolo 2, lettera d), della direttiva 2002/58 prevede una definizione ampia della nozione di «comunicazione» che include ogni informazione scambiata o trasmessa tra un numero finito di soggetti tramite un servizio di comunicazione elettronica accessibile al pubblico.
37. L'articolo 13 della direttiva 2002/58, intitolato «Comunicazioni indesiderate», consente, al paragrafo 1, l'uso di diversi tipi di comunicazioni, vale a dire, in particolare, la posta elettronica, a fini di commercializzazione diretta, a condizione che essa sia effettuata nei confronti degli abbonati o degli utenti che abbiano espresso preliminarmente il loro consenso.
38. In deroga al requisito di un siffatto consenso, l'articolo 13, paragrafo 2, della direttiva 2002/58 stabilisce che, allorché una persona fisica o giuridica ottiene dai suoi clienti le coordinate elettroniche per la posta elettronica nel contesto della vendita di un prodotto o servizio ai sensi della direttiva 95/46, la medesima persona fisica o giuridica può utilizzare tali coordinate elettroniche a scopi di commercializzazione diretta purché soddisfi le condizioni stabilite nella disposizione in parola.
39. Dalla formulazione delle disposizioni di cui ai punti 37 e 38 della presente sentenza risulta che esse sono destinate ad applicarsi alle sole comunicazioni effettuate «a scopi di commercializzazione diretta». Pertanto, al fine di rispondere alla prima questione e alla quarta questione, lettera a), occorre determinare, in un primo momento, se la comunicazione di una lettera di informazione come quella di cui si tratta nel procedimento principale abbia come finalità la commercializzazione diretta e, in caso affermativo, in un secondo tempo, se le coordinate elettroniche degli utenti interessati siano state ottenute dal mittente di tale comunicazione «nel contesto della vendita (...) di un servizio», ai sensi dell'articolo 13, paragrafo 2, della direttiva 2002/58.
40. Secondo costante giurisprudenza, ai fini dell'interpretazione uniforme di una disposizione del diritto dell'Unione, si deve tener conto non soltanto del tenore letterale di quest'ultima, ma anche del contesto nel quale essa s'inscrive e degli obiettivi perseguiti dalla normativa di cui essa fa parte (v. sentenze del 17 novembre 1983, Merck, 292/82, EU:C:1983:335, punto 12, nonché del 1º agosto 2025, Alace e Canpelli, C-758/24 e C‑759/24, EU:C:2025:591, punto 91).
41. Per quanto riguarda, in primo luogo, il tenore letterale dell'articolo 13, paragrafi 1 e 2, della direttiva 2002/58, occorre constatare che tale disposizione non contiene alcuna indicazione quanto al significato della nozione di comunicazione effettuata «a scopi di commercializzazione diretta». Tuttavia, dalla giurisprudenza della Corte risulta che essa riguarda le comunicazioni che perseguono uno scopo commerciale e si rivolgono direttamente e individualmente ad un consumatore (v., in tal senso, sentenza del 25 novembre 2021, StWL Städtische Werke Lauf a.d. Pegnitz, C‑102/20, EU:C:2021:954, punto 47).
42. Alla luce di tali criteri, la Corte ha dichiarato che messaggi pubblicitari che riguardano la promozione di servizi, diffusi sotto forma di messaggio di posta elettronica, così da comparire direttamente nella casella di posta in arrivo della posta elettronica privata dell'utente interessato, costituiscono comunicazioni siffatte (v., in tal senso, sentenza del 25 novembre 2021, StWL Städtische Werke Lauf a.d. Pegnitz, C‑102/20, EU:C:2021:954, punto 48).
43. Nel caso di specie, come risulta dalla decisione di rinvio, la comunicazione di cui si tratta nel procedimento principale consiste in una lettera di informazione quotidiana, diffusa sotto forma di messaggio di posta elettronica, contenente una sintesi di novità legislative trattate negli articoli di una pubblicazione di carattere giornalistico online nonché collegamenti ipertestuali a tali articoli. È solo seguendo detti collegamenti ipertestuali che gli utenti interessati possono consultarne il contenuto completo, gratuitamente nel limite di otto articoli al mese e, dietro pagamento, l'insieme degli articoli disponibili sulla piattaforma online gestita dalla Inteligo Media.
44. La circostanza menzionata dal giudice del rinvio secondo cui, in quanto contiene una sintesi dei temi trattati negli articoli di tale pubblicazione, la comunicazione in parola ha anche un contenuto informativo non può implicare che essa debba essere esclusa dalla nozione di comunicazione effettuata «a scopi di commercializzazione diretta», ai sensi dell'articolo 13, paragrafi 1 e 2, della direttiva 2002/58, e, pertanto, dall'ambito di applicazione di detta disposizione.
45. Al contrario, come rilevato, in sostanza, dall'avvocato generale ai paragrafi da 32 a 34 delle sue conclusioni, una siffatta comunicazione è destinata a indurre gli utenti interessati ad accedere al contenuto a pagamento fornito da un editore di pubblicazioni, favorendo l'esaurimento del numero di articoli che possono essere consultati gratuitamente sulla piattaforma online di cui si tratta e la sottoscrizione di un abbonamento completo. Essa mira quindi a promuovere la vendita di tale contenuto e persegue, di conseguenza, uno scopo commerciale, ai sensi della giurisprudenza citata al punto 41 della presente sentenza. Inoltre, nella misura in cui la comunicazione in discussione, diffusa sotto forma di messaggio di posta elettronica, compare direttamente nella casella di posta in arrivo della posta elettronica privata dei suoi destinatari, si deve ritenere che essa sia effettuata «a scopi di commercializzazione diretta», ai sensi dell'articolo 13, paragrafi 1 e 2, della direttiva 2002/58, e ciò indipendentemente dalla questione di stabilire se tale finalità possa essere dedotta unicamente dal contenuto di detta comunicazione o, ancora, dalla struttura dell'offerta del mittente della medesima.
46. Tale interpretazione della nozione di comunicazione effettuata «a scopi di commercializzazione diretta» è corroborata, in secondo luogo, dal contesto nel quale essa s'inscrive e dagli obiettivi perseguiti dalla direttiva 2002/58.
47. A questo proposito, occorre rilevare che l'articolo 13, paragrafo 1, della direttiva 2002/58 stabilisce una regola di principio, che subordina la trasmissione delle comunicazioni indesiderate rientranti nel suo ambito di applicazione al requisito di ottenere preliminarmente il consenso del loro destinatario.
48. In mancanza di un siffatto consenso, una tale comunicazione è autorizzata solo se sono soddisfatte le condizioni previste all'articolo 13, paragrafo 2, della direttiva 2002/58. La disposizione in parola richiede, anzitutto, che, nel rispetto della direttiva 95/46 o, a seconda dei casi, del RGPD, il mittente della comunicazione di cui si tratta abbia ottenuto dai destinatari della medesima le loro coordinate elettroniche per la posta elettronica, nel contesto della vendita di un prodotto o servizio. Poi, dette coordinate elettroniche possono essere utilizzate a scopi di commercializzazione diretta, a condizione che la commercializzazione riguardi propri analoghi prodotti o servizi forniti da tale mittente stesso. Infine, questo utilizzo è subordinato alla condizione che ai destinatari in parola sia offerta in modo chiaro e distinto la possibilità di opporsi, gratuitamente e in maniera agevole, all'uso di tali coordinate elettroniche al momento della raccolta delle coordinate e in occasione di ogni messaggio, qualora essi non abbiano rifiutato inizialmente tale uso.
49. Peraltro, ai sensi dell'articolo 13, paragrafo 4, della direttiva 2002/58 è vietata, in ogni caso, la prassi di inviare messaggi di posta elettronica a scopi di commercializzazione diretta, camuffando o celando l'identità del mittente da parte del quale la comunicazione è effettuata, o in violazione dell'articolo 6 della direttiva 2000/31, o senza fornire un indirizzo valido cui il destinatario possa inviare una richiesta di cessazione di tali comunicazioni o ancora esortando i destinatari a visitare siti web che violino detto articolo 6.
50. L'insieme delle garanzie ricordate ai punti da 47 a 49 della presente sentenza è volto a realizzare gli obiettivi perseguiti dalla direttiva 2002/58, quali enunciati ai considerando 2 e 40 della medesima, che mirano segnatamente a garantire il pieno rispetto dei diritti di cui agli articoli 7 e 8 della Carta dei diritti fondamentali dell'Unione europea e, a tal fine, a tutelare gli abbonati da interferenze nella loro vita privata mediante comunicazioni indesiderate a scopo di commercializzazione diretta, in particolare mediante dispositivi automatici di chiamata, telefax o posta elettronica, compresi gli SMS.
51. Qualsiasi altra interpretazione rischierebbe di indebolire l'effetto utile dell'articolo 13 della direttiva 2002/58 e di mettere così in discussione il livello di tutela della vita privata previsto da tale direttiva. Invero, se si accogliesse un'interpretazione contraria, la trasmissione di una comunicazione come quella di cui si tratta nel procedimento principale si sottrarrebbe alle garanzie previste da detto articolo 13, nonostante il rischio di pregiudizio alla vita privata degli utenti di servizi di posta elettronica.
52. Atteso che una comunicazione come quella di cui si tratta nel procedimento principale deve essere considerata effettuata «a scopi di commercializzazione diretta», ai sensi dell'articolo 13, paragrafi 1 e 2, della direttiva 2002/58, occorre esaminare, in un secondo momento, se la condizione di cui a tale articolo 13, paragrafo 2, e menzionata al punto 39 della presente sentenza, secondo cui le coordinate elettroniche dei clienti devono essere state ottenute dal mittente di tale comunicazione «nel contesto della vendita (...) di un servizio», sia soddisfatta.
53. In primo luogo, da un lato, come indicato dall'avvocato generale al paragrafo 40 delle sue conclusioni, secondo una definizione comunemente riconosciuta, il termine «vendita» designa un accordo che comporta necessariamente un pagamento in cambio di un bene o di un servizio. Tale termine, pertanto, può ricomprendere soltanto le operazioni che presuppongono il versamento di una remunerazione.
54. Dall'altro lato, occorre constatare che l'articolo 13, paragrafo 2, della direttiva 2002/58 riguarda, in generale, i «serviz[i]», senza operare alcuna distinzione a seconda del tipo di prestazione di cui si tratta. Per quanto riguarda i servizi rientranti nell'ambito di applicazione della direttiva 2000/31, la Corte ha dichiarato che la remunerazione di un servizio fornito da un prestatore nell'ambito della sua attività economica non è necessariamente versata dai soggetti che ne fruiscono. Ciò si verifica, in particolare, nel caso in cui una prestazione effettuata a titolo gratuito sia fornita da un prestatore a fini pubblicitari per beni venduti o servizi forniti dal medesimo prestatore, dato che il costo di tale attività è così integrato nel prezzo di vendita di tali beni o di tali servizi (sentenza del 15 settembre 2016, Mc Fadden, C‑484/14, EU:C:2016:689, punti 41 e 42 nonché giurisprudenza citata). Tali considerazioni possono essere trasposte nell'ambito dell'interpretazione dell'articolo 13, paragrafo 2, della direttiva 2002/58.
55. Orbene, ciò è proprio quanto avviene nel caso di specie. Come risulta infatti dal tenore letterale della prima questione e dalla motivazione della decisione di rinvio, le coordinate elettroniche degli utenti interessati sono state ottenute dalla Inteligo Media al momento della creazione, da parte di questi ultimi, di un conto utente gratuito sulla piattaforma online gestita da tale società, il che presupponeva l'accettazione, da parte di detti utenti, delle condizioni contrattuali di fornitura del «Servizio Premium». Sottoscrivendo il servizio in parola, detti utenti ottenevano il diritto di accedere gratuitamente a un certo numero di articoli apparsi nella pubblicazione di cui si tratta e di ricevere la lettera di informazione «Personal Update». Come risulta dal punto 45 della presente sentenza, la prestazione di un siffatto servizio ha soprattutto uno scopo pubblicitario consistente nel promuovere il contenuto a pagamento fornito dalla Inteligo Media, essendo il costo del servizio in parola integrato nel prezzo di detto contenuto.
56. In tali circostanze, al pari dell'avvocato generale al paragrafo 43 delle sue conclusioni, si deve ritenere che una remunerazione indiretta, integrata nel prezzo di vendita dell'abbonamento completo offerto da tale prestatore, come quella di cui si tratta nel procedimento principale, soddisfi il requisito di pagamento ricordato al punto 53 della presente sentenza.
57. Di conseguenza, un'operazione come quella nell'ambito della quale la Inteligo Media ha ottenuto le coordinate elettroniche di utenti può rientrare nella nozione di «vendita (...) di un servizio», ai sensi dell'articolo 13, paragrafo 2, della direttiva 2002/58.
58. Tale interpretazione è, in secondo luogo, conforme al contesto in cui la nozione in parola è utilizzata e agli obiettivi perseguiti dalla normativa di cui essa fa parte.
59. A questo proposito, è senz'altro vero che l'articolo 13, paragrafo 2, della direttiva 2002/58 prevede un'eccezione, che deroga alla regola di principio sancita da tale articolo 13, paragrafo 1, e che essa deve, pertanto, essere oggetto di un'interpretazione restrittiva. Tuttavia, sotto un primo profilo, la formulazione di detto articolo 13, paragrafo 2, non esclude la possibilità che la remunerazione richiesta per un'operazione di «vendita», ai sensi di quest'ultima disposizione, possa essere versata da una persona diversa dal beneficiario del prodotto o del servizio oggetto di detta operazione. Al contrario, da tale formulazione risulta che il legislatore dell'Unione si è limitato ad imporre che le coordinate elettroniche degli utenti interessati siano ottenute «nel contesto della vendita di un prodotto o servizio».
60. Sotto un secondo profilo, l'interpretazione dei termini dell'articolo 13, paragrafo 2, della direttiva 2002/58 deve, in ogni caso, essere conforme all'obiettivo perseguito da tale disposizione. Ne consegue che la necessità di una siffatta interpretazione restrittiva non può essere intesa nel senso che consenta un'interpretazione di detti termini che privi questi ultimi del loro effetto utile (v., per analogia, sentenza del 4 marzo 2021, Frenetikexito, C‑581/19, EU:C:2021:167, punto 22 e giurisprudenza citata).
61. Orbene, per quanto riguarda l'obiettivo perseguito dall'articolo 13, paragrafo 2, della direttiva 2002/58, dal considerando 41 della direttiva in parola emerge che il legislatore dell'Unione ha inteso prevedere una deroga al principio di cui a detto articolo 13, paragrafo 1, quando le coordinate elettroniche degli utenti interessati sono state ottenute «nel contesto di una relazione di clientela già esistente», senza caratterizzare ulteriormente tale rapporto.
62. Di conseguenza, e fatte salve le verifiche che spetta al giudice del rinvio effettuare, risulta che, nel caso di specie, è soddisfatta tanto la condizione secondo la quale le coordinate elettroniche degli utenti interessati devono essere state raccolte «nel contesto della vendita di un prodotto o servizio», tanto quella, come emerge dai punti 55 e 56 della presente sentenza, relativa al carattere analogo del servizio oggetto della commercializzazione di cui si tratta.
63. Tenuto conto di tutte le considerazioni che precedono, occorre rispondere alla prima questione e alla quarta questione, lettera a), dichiarando che l'articolo 13, paragrafi 1 e 2, della direttiva 2002/58 deve essere interpretato nel senso che l'indirizzo di posta elettronica di un utente è ottenuto dall'editore di una pubblicazione online «nel contesto della vendita di un prodotto o servizio», ai sensi di tale articolo 13, paragrafo 2, qualora detto utente crei un conto utente gratuito sulla sua piattaforma online che gli conferisce il diritto di accedere gratuitamente a un certo numero di articoli della pubblicazione in parola, di ricevere gratuitamente, per posta elettronica, una lettera di informazione quotidiana contenente una sintesi di novità legislative trattate in articoli della summenzionata pubblicazione, compresi collegamenti ipertestuali a questi ultimi nonché il diritto di accedere, dietro pagamento, ad articoli e ad analisi aggiuntive di detta pubblicazione. La trasmissione di una siffatta lettera di informazione costituisce un utilizzo di posta elettronica «a scopi di commercializzazione diretta», per «analoghi prodotti o servizi», ai sensi di quest'ultima disposizione.
Sulla seconda questione
64. Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l'articolo 13, paragrafo 2, della direttiva 2002/58, in combinato disposto con l'articolo 95 del RGPD, debba essere interpretato nel senso che, qualora il titolare del trattamento utilizzi l'indirizzo di posta elettronica di un utente per inviargli una comunicazione indesiderata, conformemente a tale articolo 13, paragrafo 2, sono applicabili le condizioni di liceità del trattamento previste all'articolo 6, paragrafo 1, di detto regolamento.
65. Come ripetutamente dichiarato dalla Corte, l'articolo 6, paragrafo 1, primo comma, del RGPD prevede un elenco esaustivo e tassativo dei casi nei quali un trattamento di dati personali può essere considerato lecito. Pertanto, per poter essere considerato legittimo un trattamento deve rientrare in uno dei casi previsti da tale disposizione [sentenze del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 99, e del 9 gennaio 2025, Mousse, C‑394/23, EU:C:2025:2, punto 25 nonché giurisprudenza citata].
66. Ciò detto, secondo i termini espliciti dell'articolo 95 del RGPD, tale regolamento non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell'Unione, per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla direttiva 2002/58.
67. Peraltro, il considerando 173 di detto regolamento precisa, analogamente, che è opportuno che quest'ultimo si applichi a tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali con riguardo al trattamento dei dati personali che non rientrino in obblighi specifici, aventi lo stesso obiettivo, di cui alla direttiva 2002/58, compresi gli obblighi del titolare del trattamento e i diritti delle persone fisiche.
68. Orbene, come rilevato dall'avvocato generale al paragrafo 50 delle sue conclusioni, l'articolo 13, paragrafo 2, della direttiva 2002/58 disciplina in maniera esaustiva le condizioni e le finalità del trattamento nonché i diritti dell'interessato e assoggetta il titolare del trattamento a «obblighi specifici», ai sensi dell'articolo 95 del RGPD. Di conseguenza, la liceità di un trattamento di dati personali effettuato nell'ambito di una comunicazione rientrante nell'ambito di applicazione di tale articolo 13, paragrafo 2, può essere accertata sulla base della disposizione in parola, senza che sia necessario valutarla alla luce delle condizioni di cui all'articolo 6, paragrafo 1, lettere da a) a f), del RGPD.
69. Tenuto conto di tutto quanto precede, occorre rispondere alla seconda questione dichiarando che l'articolo 13, paragrafo 2, della direttiva 2002/58, in combinato disposto con l'articolo 95 del RGPD, deve essere interpretato nel senso che, qualora il titolare del trattamento utilizzi l'indirizzo di posta elettronica di un utente per inviargli una comunicazione indesiderata, conformemente a tale articolo 13, paragrafo 2, non sono applicabili le condizioni di liceità del trattamento previste all'articolo 6, paragrafo 1, di detto regolamento.
Sulla terza questione
70. Con la sua terza questione, il giudice del rinvio chiede se l'articolo 13, paragrafi 1 e 2, della direttiva 2002/58 debba essere interpretato nel senso che esso osta a una normativa nazionale che utilizza la nozione di «comunicazioni commerciali», prevista all'articolo 2, lettera f), della direttiva 2000/31, anziché quella di «commercializzazione diretta», e, in caso di risposta negativa, se una lettera di informazione quotidiana contenente una sintesi di novità legislative trattate in articoli di una pubblicazione online, compresi collegamenti ipertestuali a questi ultimi, costituisca una «comunicazion[e] commercial[e]», ai sensi di detto articolo 2, lettera f).
71. A tale riguardo, occorre ricordare che, secondo una giurisprudenza costante, le questioni relative al diritto dell'Unione godono di una presunzione di rilevanza. Il rifiuto della Corte di statuire su una questione pregiudiziale posta da un giudice nazionale è possibile solo quando appaia in modo manifesto che l'interpretazione del diritto dell'Unione richiesta non ha alcuna relazione con la realtà effettiva o con l'oggetto della controversia nel procedimento principale, qualora il problema sia di natura ipotetica o anche laddove la Corte non disponga degli elementi di fatto e di diritto necessari per fornire una risposta utile alle questioni che le vengono sottoposte (sentenza del 15 giugno 2021, Facebook Ireland e a., C‑645/19, EU:C:2021:483, punto 115 nonché giurisprudenza citata).
72. Inoltre, conformemente a una giurisprudenza parimenti costante, la ratio del rinvio pregiudiziale non consiste nell'esprimere pareri a carattere consultivo su questioni generali o ipotetiche, bensì nella necessità di dirimere concretamente una controversia (sentenza del 15 giugno 2021, Facebook Ireland e a., C‑645/19, EU:C:2021:483, punto 116 nonché giurisprudenza citata).
73. Nel caso di specie, dalla risposta fornita alla prima questione e alla quarta questione, lettera a), risulta che la comunicazione di una lettera d'informazione come quella di cui si tratta nel procedimento principale costituisce una comunicazione effettuata «a scopi di commercializzazione diretta», ai sensi dell'articolo 13, paragrafi 1 e 2, della direttiva 2002/58. In tali circostanze, non risulta, sulla base delle indicazioni fornite dal giudice del rinvio, che quest'ultimo necessiti, inoltre, di un'interpretazione della nozione di «comunicazioni commerciali», prevista all'articolo 2, lettera f), della direttiva 2000/31, al fine di dirimere la controversia di cui è investito.
74. Ne consegue che la terza questione è irricevibile.
Sulla quarta questione, lettera b), e sulla quinta questione
75. Tenuto conto della risposta fornita alla prima questione e alla quarta questione, lettera a), non occorre rispondere alla quarta questione, lettera b), e alla quinta questione.
Sulle spese
76. Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
P.Q.M.
la Corte (Prima Sezione) dichiara:
1) L'articolo 13, paragrafi 1 e 2, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche), come modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009, deve essere interpretato nel senso che l'indirizzo di posta elettronica di un utente è ottenuto dall'editore di una pubblicazione online «nel contesto della vendita di un prodotto o servizio», ai sensi di tale articolo 13, paragrafo 2, qualora detto utente crei un conto utente gratuito sulla sua piattaforma online che gli conferisce il diritto di accedere gratuitamente a un certo numero di articoli della pubblicazione in parola, di ricevere gratuitamente, per posta elettronica, una lettera di informazione quotidiana contenente una sintesi di novità legislative trattate in articoli della summenzionata pubblicazione, compresi collegamenti ipertestuali a questi ultimi nonché il diritto di accedere, dietro pagamento, ad articoli e ad analisi aggiuntive di detta pubblicazione. La trasmissione di una siffatta lettera di informazione costituisce un utilizzo di posta elettronica «a scopi di commercializzazione diretta», per «analoghi prodotti o servizi», ai sensi di quest'ultima disposizione.
2) L'articolo 13, paragrafo 2, della direttiva 2002/58, come modificata dalla direttiva 2009/136, in combinato disposto con l'articolo 95 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che, qualora il titolare del trattamento utilizzi l'indirizzo di posta elettronica di un utente per inviargli una comunicazione indesiderata, conformemente a tale articolo 13, paragrafo 2, non sono applicabili le condizioni di liceità del trattamento previste all'articolo 6, paragrafo 1, di detto regolamento.
3) La terza questione sollevata dalla Curtea de Apel Bucureşti (Corte d'appello di Bucarest, Romania) è irricevibile.
