ENG

The processing of personal data for the performance of related contracts: is dual consent required?

This article analyses the processing of personal data in the context of linked contracts, and when it is therefore necessary to perform contracts that are linked to one another and form part of a complex economic transaction. The Court of Cassation has provided guidance on whther the user, as a party of the transaction, must repeatedly give consent to the processing of personal data, or whether the consent originally given is sufficient, also considering that the performance of the contractual transaction is in itself sufficient to legitimise the processing, in light of data protection regulation.

1. Introduzione

Il presente contributo offre un’analisi del rapporto tra trattamento dei dati personali e contratti collegati. In particolare, si analizza la necessità o meno della manifestazione di un doppio consenso al trattamento dei dati da parte dell’interessato in caso di contratti collegati in cui lo stesso è parte.

La giurisprudenza della Corte di Cassazione nel 29 gennaio 2016, Sez. III civile, n. 1655^[1], analizzata di seguito nel dettaglio, ha chiarito che il trattamento dei dati personali può essere effettuato anche senza consenso da parte dell’interessato quando è necessario per eseguire obblighi derivanti da un contratto collegato del quale l’interessato è parte.

Esistendo infatti nella pratica due contratti, volti ad un fine unitario voluto dalle parti, la giurisprudenza rileva come la manifestazione di più consensi possa risultare superflua e superabile dall’unica manifestazione di assenso dell’utente fornita originariamente.

Il trattamento dei dati personali prevede, come noto, rilevanti obblighi per il titolare e per il responsabile del trattamento, oltre che oneri per l’interessato^[2]. La lesione dei diritti dell’interessato può comportare, ormai pacificamente, un danno risarcibile ex art. 82 GDPR^[3], sia di natura patrimoniale sia di natura non patrimoniale.

Nel contesto del collegamento negoziale, il trattamento dei dati tiene conto da un lato dell’esecuzione del contratto e del raggiungimento del fine unitario voluto dalle parti, e dall’altro dei diritti dell’interessato da osservare in conformità alla normativa.

I contratti collegati rappresentano un'operazione economica unitaria realizzata attraverso una pluralità di negozi giuridici distinti e autonomi, ma funzionalmente interdipendenti, distinguendosi dal contratto misto, stante la causa unica di quest’ultimo, o contratto unico a contenuto complesso^[4].

I presupposti essenziali dei contratti collegati consistono nel nesso funzionale^[5], ovvero la relazione tra i contratti tale per cui la finalità unitaria non può esser raggiunta senza l’altro (requisito oggettivo), e l’intento unitario perseguito dalle parti (requisito soggettivo)^[6]. Come anticipato, poi, occorre che sussista un’autonomia strutturale tra i contratti, i quali mantengono causa e struttura propria, e l’interdipendenza a livello di effetti giuridici^[7]. Viene riconosciuta inoltre all’intera operazione una c.d. causa concreta unitaria^[8], quale scopo pratico dell’intera operazione alla luce dell’interpretazione della causa come funzione economico-individuale^[9], superando la visione di carattere puramente oggettivistico.

La giurisprudenza antecedente rispetto al caso in esame^[10] si era già interrogata circa la necessità o meno del doppio consenso in caso di contratti collegati, con attività strumentale rispetto alla principale.

In tali occasioni la Corte iniziava a delineare i confini della "necessità" del trattamento e, pur non riferendosi esplicitamente ai contratti collegati in senso stretto, ha chiarito che l'esenzione dal consenso prevista dal Codice Privacy^[11], oggi dal GDPR, doveva essere interpretata in modo da “coprire tutte le attività strumentali e necessarie per l'esecuzione del rapporto contrattuale”, evitando eccessivi formalismi che, di converso, avrebbero potenzialmente paralizzato l'attività economica, ovvero lo scopo proprio di quella operazione economica.

Ancora, il trattamento dei dati personali di un contraente da parte di un terzo veniva considerato lecito anche senza la manifestazione di un nuovo consenso, se doveva effettuarsi un’attività di estensione funzionale dell'esecuzione del contratto principale di cui l'interessato era parte^[12].

Anche il Garante Privacy in tempi antecedenti aveva avuto modo di analizzare la questione relativa alla circolazione dei dati tra diversi soggetti in operazioni complesse^[13].

Il Garante stabiliva che, qualora il trasferimento dei dati fosse stato inerente e necessario alla prosecuzione del rapporto contrattuale e inerente alle medesime attività previste nell’operazione - anche se gestito da un nuovo soggetto - il consenso dell'interessato non era richiesto, purché persistessero le stesse finalità e vi fosse una causa concreta unitaria^[14], oltre che un’unitarietà dell’operazione economica nel suo complesso.

2. Il caso analizzato dalla Corte di Cassazione

Nel 2010 un soggetto conveniva in giudizio, ex art. 152 d.lgs. n. 196/2003, un’azienda con cui aveva stipulato un contratto di finanziamento per il futuro acquisto di un’autovettura, per ottenere il risarcimento dei danni subiti a seguito della diffusione a terzi di dati inerenti la propria posizione finanziaria.

Esponeva l'attore di aver stipulato nel 2007 un contratto di finanziamento con la società convenuta e che a seguito dell'omesso pagamento di alcune rate un incaricato della società aveva riferito presso lo studio professionale dell’attore tutti i particolari della situazione di morosità in cui versava.

La società convenuta si difendeva sostenendo che nessun suo incaricato o dipendente aveva mai comunicato a soggetti diversi i dati inerenti alla sua morosità.

Il Tribunale di Milano, con sentenza del 29 marzo 2012 rigettava la domanda dell'attore affermando che:

a) i dati oggetto della controversia erano da qualificarsi come dati personali, ex art. 4, lett. b, del d.lgs. n. 196/2003 e non come dati sensibili;

b) la lesione della riservatezza si ha se, detti dati, si portano a conoscenza di soggetti terzi, ma, nel caso di specie, la concessionaria era parte del contratto;

c) nel contratto di finanziamento lo stesso attore aveva indicato quale propria residenza la sede dello studio professionale, con ciò legittimando il creditore ad effettuare ogni necessaria comunicazione presso lo studio stesso né l'illegittimità del trattamento del dato personale poteva derivare dalla circostanza che la comunicazione era stata effettuata a un soggetto diverso, dipendente o collaboratore, dello studio professionale, trattandosi di soggetto evidentemente dall'attore delegato all'interno della propria organizzazione professionale alla ricezione di ogni tipo di comunicazioni;

d) mancava comunque la prova delle circostanze allegate.

Avverso tale decisione, l’attore propone ricorso per cassazione sulla base di due motivi. Resisteva con controricorso la convenuta.

Con il primo motivo, il ricorrente deduceva la "violazione e falsa applicazione degli art. 11 e 15 del Codice della privacy (d.lgs. n. 196 del 2003) in riferimento all'articolo 360 n. 3 c.p.c.".

Lamentava in particolare che il Tribunale avesse erroneamente ritenuto che vi fosse un “collegamento tra il contratto di finanziamento e quello di vendita dell'autovettura, che conseguentemente il concessionario non fosse un terzo estraneo al rapporto e che la divulgazione dell'informazione di natura finanziaria potesse giustificarsi in riferimento alle obbligazioni scaturenti dai due contratti di vendita e di finanziamento”.

Il motivo veniva considerato infondato.

L'art. 24, lett. b), del Codice Privacy indica tra i casi nei quali il trattamento dei dati può essere effettuato senza consenso, quello in cui “il trattamento stesso sia necessario per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste di questi”. La norma, al pari di quelle contenute nelle lett. d) ed i-ter), è evidentemente intesa a favorire lo svolgersi dei rapporti commerciali e richiede che il trattamento sia necessario ai fini della conclusione o dell'esecuzione del contratto.

Nel caso di specie, la Corte d'appello ha ritenuto sussistente il requisito della necessità ai fini della corretta esecuzione dei contratti di finanziamento e di acquisto del bene, tra loro collegati.

Infatti, l'art. 121, lett. d), del d.lgs. n. 385 del 1993 prevede espressamente un'ipotesi di collegamento negoziale di fonte legale tra i contratti di credito al consumo finalizzati all'acquisto di determinati beni o servizi ed i contratti di acquisto dei medesimi^[15]. Né il ricorrente ha contestato che nella specie ricorressero le due condizioni previste dalla norma:

1) il finanziatore si avvale del fornitore del bene o del prestatore del servizio per promuovere o concludere il contratto di credito;

2) il bene o il servizio specifici sono esplicitamente individuati nel contratto di credito, essendosi limitato a ribadire invece l'autonomia dei due contratti e l'impossibilità di configurare un collegamento tra gli stessi.

La Suprema Corte ha ribadito dunque il principio per cui in caso di collegamento “deve conseguentemente ritenersi lecita, in attuazione dei reciproci obblighi di buona fede e correttezza gravanti sulle parti dei contratti collegati la circolazione delle informazioni che riguardano fatti che possono avere rilevanza sulle vicende contrattuali”.

Con il secondo motivo il ricorrente denunciava il "vizio di omessa motivazione e omesso esame di un fatto decisivo per il giudizio oggetto di discussione tra le parti (art. 360 c.p.c. n. 5)", sostenendo che il tribunale non ha ammesso una prova fondamentale senza fornire la motivazione di tale decisione.

Il motivo veniva considerato inammissibile.

Come con orientamento pacifico è stato affermato, sostiene la Suprema Corte, la censura contenuta nel ricorso relativa alla mancata ammissione della prova testimoniale “…è inammissibile se il ricorrente, oltre a trascrivere i capitoli di prova e ad indicare i testi e le ragioni per le quali essi sono qualificati a testimoniare - elementi necessari a valutare la decisività del mezzo istruttorio richiesto - non alleghi e indichi la prova della tempestività e ritualità della relativa istanza di ammissione e la fase di merito a cui si riferisce, al fine di consentire ex actis alla corte di cassazione di verificare la veridicità dell'asserzione”.

Nella specie, il ricorrente non ha provveduto a quanto richiesto e il motivo veniva rigettato per inammissibilità.

3. La questione giuridica sottesa. Contratti collegati e necessità del doppio consenso?

La questione sottesa al caso in esame consta di due segmenti.

Da un lato, attiene alla rilevanza del collegamento negoziale tra due o più contratti e alla loro eseguibilità nel tempo nell’ottica di una praticità, efficienza contrattuale e continuità economica. Dall’altro, attiene alla rilevanza in ambito privacy e quindi, nello specifico, alla possibilità di trattare i dati di una parte dei contratti collegati senza il suo consenso, poiché già prestato a monte dell’operazione economica unitaria.

Come sopra anticipato, la non necessità del doppio consenso è sostenuta se si considera l’art. 6 lett. b) del GDPR^[16].

In virtù di tale disposizione, l'esecuzione contrattuale o di misure precontrattuali consiste in una base giuridica autonoma rispetto al consenso^[17]. Dunque, una volta verificato che sussiste tale base giuridica, ovvero, la necessità di dare esecuzione a contratti, il trattamento dei dati è certamente possibile^[18], considerato l’ormai consolidato sistema multilivello nell’ambito della protezione dei dati personali e l’alternatività delle basi giuridiche legittimanti il trattamento^[19].

Il consenso è certamente condizione necessaria affinchè il trattamento dei dati avvenga in modo lecito, ma in virtù del caso concreto la base giuridica è, come visto, variabile. Pertanto, se il trattamento serve unicamente per dare esecuzione ai contratti collegati, può sostenersi che non occorra un doppio consenso per il trattamento^[20].

È necessario invece un consenso separato e specifico se i dati vengono usati per scopi che esulano dall'esecuzione dei contratti, come il marketing diretto o la profilazione. Se i contratti collegati coinvolgono società o soggetti diversi, l'interessato deve essere informato su chi tratta i dati e per quali scopi, specialmente se avvengono comunicazioni a terzi per scopi promozionali^[21].

A livello europeo, Il Comitato Europeo per la Protezione dei Dati (“EDPB”) fornisce i criteri per interpretare la "necessità contrattuale"^[22].

Il trattamento è lecito se è oggettivamente necessario per fornire il servizio richiesto^[23]. Al riguardo l'EDPB sottolinea che il titolare non può scegliere arbitrariamente la base giuridica, ma deve valutare se l'assenza di quel trattamento impedirebbe la realizzazione dell'oggetto del contratto. Peraltro, la "necessità" deve essere interpretata in modo restrittivo, per cui il trattamento deve essere indispensabile per l'esecuzione del contratto, e non solo utile per gli interessi commerciali del titolare^[24].

Guardando all’operazione contrattuale nel suo complesso, il collegamento negoziale richiede un nesso teleologico tra i due negozi, finalizzati ad un unico regolamento di interessi, e la comune volontà delle parti nel volere non solo gli effetti dell’operazione ma altresì il coordimento degli stessi per raggiungere il comune fine^[25]. Ed infatti, in tal caso il finanziamento era legato all'acquisto dell’autovettura, e il concessionario che trasmette i dati alla banca “non è considerato un terzo estraneo rispetto all’operazione economica”, ma piuttosto agisce all'interno dell’operazione economica stessa, la quale è unitaria.

Con riguardo al dato personale, esso è l’oggetto dello scambio nell’ambito dei servizi digitali^[26], e il consenso è non solo un atto autorizzatorio, ma un elemento costitutivo del contratto stesso. In questa visione, il consenso è unitario.

Del resto, se si considera ad oggi la natura ibrida del dato, sia personale sia economica, e la doppia natura del consenso espresso dall’interessato, sia autorizzativa sia contrattuale^[27], può giungersi alla considerazione per cui il consenso prestato debba favorire una visione d'insieme dell'operazione economica contrattuale – avente un fine unitario - propria del collegamento negoziale, mediante la quale la base giuridica del consenso^[28] espresso originariamente si estende all’intera operazione contrattuale.

Vi è comunque la necessità, per la conformità alla normativa, che il consenso non sia liberamente espresso se non è separato in caso di distinti trattamenti dei dati personali, nonostante sia appropriato nel singolo caso, o se l’esecuzione di un contratto, compresa la prestazione di un servizio, è subordinata al consenso sebbene esso non sia necessario per tale esecuzione^[29].

In tal senso si permette di considerare l’operazione nel suo insieme, e non solo dal punto di vista dei diritti dell’interessato (titolare del dato), ma anche del titolare del trattamento (es. un’impresa)^[30], la quale ha necessità di gestire i dati altrui per esercitare la propria attività economica, talvolta mediante operazioni complesse proprie dei contratti collegati.

Tale orientamento giurisprudenziale, legittimante l’unico consenso in operazioni complesse, trova ancoraggio dottrinale nella tesi della causa concreta del negozio, secondo cui il collegamento negoziale proietta gli effetti di un atto sull’altro in virtù dell’unità dell’operazione economica^[31]. In quest'ottica, seguendo una linea di efficienza contrattuale tesa ad evitare formalismi eccessivi o “paralizzanti”^[32], la pretesa di un secondo consenso in assenza della quale non potrebbe darsi esecuzione al collegamento negoziale sfocerebbe in una violazione dei principi di efficienza e buona fede contrattuale.

Va altresì considerata la libera revocabilità del consenso da parte dell’interessato in qualsiasi momento^[33], garantita dal GDPR in qualsiasi tipo di operazione economica. Nel contesto dei contratti collegati, la revoca del consenso originariamente prestato, osservando il nesso funzionale tra i due atti, fa venir meno l’intera operazione economica, stante l’applicazione del principio “simul stabunt simul cadent”^[34]. In altri termini, qualora l'interessato eserciti il diritto di revoca del consenso, il collegamento negoziale determina la caducazione di entrambi i negozi, in quanto si rende impossibile il perseguimento del fine unitario voluto dalle parti, con impedimento della sua esecuzione.

La rilevanza del dato personale nell’ambito delle operazioni economiche si rafforza se si considera il processo di patrimonializzazione^[35] che ha interessato negli utimi anni i dati personali. Gli stessi vengono oggi considerati dalla giurisprudenza quali attributi aventi un valore economico intrinseco e una funzione di scambio, e non più mere controprestazioni o attributi personali meramente identificativi-rappresentativi del soggetto^[36].

Se si considera questo, si giunge alla riflessione per cui il loro trattamento nella odierna società moderna deve poter essere effettuato non solo alla luce degli interessi individuali ma anche collettivi ed economici, in un’ottica di praticità e considerazione complessiva delle operazioni economiche.

4. Conclusioni

In definitiva, alla luce della pronuncia sopra analizzata e dell’orientamento esistente sul punto, si deduce che il rapporto tra trattamento dei dati personali e collegamento negoziale goda di rilevanza pratica. Esso consente inoltre di risolvere il problema che diversamente si porrebbe in caso di necessario doppio consenso, in termini di lungaggini della procedura di trattamento nonché di potenziali problemi di esecuzione di contratti collegati che in punto di disciplina necessitano di giungere ad esecuzione. Peraltro, una eventuale negazione di secondo consenso potrebbe impedire le conseguenze restitutorie ed indennitarie che talvolta ne conseguono.

In base a quanto rilevato dalla Corte di Cassazione, il trattamento di dati personali relativi alla situazione finanziaria di un soggetto, effettuato dal creditore nei confronti di un terzo soggetto (come il concessionario di un bene acquistato con finanziamento), è lecito in presenza di un collegamento negoziale tra il contratto di finanziamento e il contratto di acquisto del bene. Ciò in quanto risulta necessario per l'esecuzione dei reciproci obblighi contrattuali e in attuazione dei doveri di buona fede e correttezza gravanti sulle parti dei contratti collegati.

Dunque, la comunicazione di tali dati personali non integra una lesione della riservatezza e privacy dell'interessato, in quanto il terzo soggetto non è estraneo al rapporto contrattuale, bensì parte dell’operazione contrattuale globalmente intesa, formata cioè dal contratto di finanziamento e dal contratto di acquisto del bene, entrambi volti al raggiungimento di un unico scopo, nonostante risultino sul piano strutturale distinti ed autonomi.