Regolamento - 27/04/2016 - n. 679 art. 21 - Diritto di opposizione

Novità rispetto alla disciplina previgente

Rispetto all'art. 14 della dir. 95/46/CE, che disciplinava il medesimo istituto, il Regolamento introduce alcune novità: 1) previsione espressa dell'opposizione a trattamenti di ricerca scientifica, storica o per finalità statistica; 2) eliminazione dell'avverbio «almeno» nell'ipotesi oggi regolata al primo paragrafo. L'avverbio apriva l'istituto a un'applicazione generale, come era infatti avvenuto in Italia nella trasposizione della direttiva. Giova notare, e ciò appare utile anche in sede di richiamo dei precedenti del Garante, che rispetto al codice privacy anteGDPR, che regolava l'istituto all'art. 7, comma 4, nel Regolamento l'opposizione al trattamento dei dati è istituto di applicazione assai più limitata e si inscrive entro gli stretti confini delle tre ipotesi già dette regolate ai parr. 1, 2, 6. In particolare:

• paragrafo 1 – trattamento in esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri oppure per il perseguimento di un legittimo interesse del titolare. L'interessato può opporsi in qualsiasi momento per «motivi connessi alla sua situazione particolare»; il titolare si astiene dal trattare i dati salvo che non dimostri l'esistenza di «motivi legittimi cogenti» prevalenti su interessi, diritti e libertà dell'interessato o il trattamento non sia necessario per la tutela in sede giudiziaria. Si osservi la formulazione negativa («salvo che non dimostri») che rivela un favor del legislatore per l'interessato;

• paragrafo 2 – trattamento per finalità di marketing diretto. In questo caso l'interessato può sempre opporsi, anche alla profilazione quando sia connessa con tale finalità, essendo irrilevante sia la base giuridica del trattamento sia la motivazione dell'opposizione, che non è tenuto a fornire. In questo caso l'interessato gode di un diritto che potremmo definire assoluto dovendo la sua volontà essere rispettata dal titolare senza eccezioni. La precisazione del paragrafo 3 «i dati personali non sono più oggetto di trattamento per tali finalità» preclude a future iniziative di marketing diretto da parte del medesimo titolare, quantomeno sugli stessi dati, salvo mutamento della volontà dell'interessato, dunque impedisce reiterazioni della condotta. La cessazione di ulteriori trattamenti va peraltro considerata conseguenza naturale di qualsiasi opposizione, diversamente risultando svuotato il senso del diritto in esame;

• paragrafo 6 – trattamento ai fini di ricerca scientifica o storica o statistica. Al pari del primo paragrafo, l'interessato per «motivi connessi alla sua situazione particolare» può opporsi al trattamento, salvo che lo stesso sia necessario per l'esecuzione di un compito di interesse pubblico. Diversamente perciò dal primo paragrafo, sembrerebbe che si proceda a un test di necessità piuttosto che a una vera e propria ponderazione di interessi antagonisti (tuttavia v. infra), restringendo peraltro tale test al solo esame della sussistenza di un compito di interesse pubblico, ossia di una porzione della base e) dell'art. 6, par. 1 GDPR. Resta salva comunque la disciplina nazionale di deroga all'art. 21, resa possibile dall'art. 89, par. 2.

L'analisi a cui è tenuto il titolare

Deve ritenersi che la mancata indicazione da parte dell'interessato dei «motivi connessi alla sua situazione particolare» a supporto dell'opposizione osti all'accoglimento del diritto, nei casi di cui ai paragrafi 1 e 6. Non sono tuttavia previste formalità espressive. Assolto tale onere motivazionale, sul titolare del trattamento grava, nell'ipotesi generale di cui al primo paragrafo, l'onere di dimostrare la sussistenza di proprie prevalenti ragioni che possano giustificare la prosercuzione del trattamento. L'attività di ponderazione va risolta senza ingiustificato ritardo e, al più tardi, entro un mese dal motivato esercizio del diritto, ai sensi dell'art. 12.3 GDPR. L'analisi, che va documentata, appartiene concettualmente alla categoria delle LIA (legitimate interest assessment). È opportuno condurre una LIA in via preventiva, ai sensi dell'art. 6.1.f) GDPR, specie ove la prevalenza del legittimo interesse del titolare non sia palese, ed è certamente necessario condurla in caso di opposizione ai sensi dell'art. 21.1. Potrà giovare a tal fine lo studio condotto in via preventiva, integrato da un apprezzamento dei concreti «motivi connessi alla situazione particolare» presentati dall'interessato.

Dal punto di vista metodologico, la Corte di giustizia ha precisato, a proposito dell'art. 6.1.f), che la valutazione dell'interesse legittimo si articola in tre fasi: (i) individuazione dell'attività lecita che risponde all'interesse del titolare, condizione questa soddisfatta tendenzialmente da un'ampia casistica; (ii) verifica dell'effettiva necessità del trattamento rispetto all'interesse legittimo individuato; (iii) concreta ponderazione dell'interesse prevalente tra quelli antagonisti. La LIA potrà essere concretamente articolata nei tre momenti suddetti. Non sussistono controindicazioni per non ritenere tale struttura tri-fasica pienamente adatta altresì alla valutazione da condurre ai sensi dell'art. 21.1.

Anche nell'ipotesi prevista dal paragrafo 6 dell'art. 21, il titolare del trattamento realizzerà e documenterà un test di necessità. Non sembra invece tenuto a un vero e proprio giudizio di prevalenza tra il proprio interesse e quello della persona che esercita l'opposizione, non essendo contemplato tale giudizio (quantomeno non in maniera esplicita) dal paragrafo 6, ancorché il titolare del trattamento debba tenere conto dei motivi esposti dall'interessato, dunque svolgere una valutazione effettiva su tali ragioni.

Solo nell'ipotesi di opposizione al trattamento per ragioni di marketing diretto deve ritenersi non siano necessarie attività di analisi, dal momento che l'esercizio del diritto dell'interessato produce l'effetto automatico di interrompere il trattamento.

«La suddetta disposizione [art. 6.1.f), n.d.a.] prevede tre condizioni cumulative affinché un trattamento di dati personali sia lecito, vale a dire, in primo luogo, il perseguimento del legittimo interesse da parte del titolare del trattamento o di un terzo, in secondo luogo, la necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito e, in terzo luogo, la condizione che gli interessi o i diritti e le libertà fondamentali dell'interessato dalla tutela dei dati non prevalgano [sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social Network), C-252/21, EU:C:2023:537, punto 106 e giurisprudenza citata] di norma» (CGUE, 7 dicembre 2023, Schufa Holding cause riunite C-26/22 e C-64/22, § 75).

Differenze tra opposizione e revoca del consenso

Tanto lo strumento dell'opposizione quanto quello della revoca determinano la cessazione di un trattamento. Tuttavia i due istituti presentano fondamentali differenze concettuali e applicative. La revoca del consenso rimuove una base che lo stesso interessato aveva fornito, il che spiega anche le ragioni per cui non va motivata e deve essere altrettanto agevole che la prestazione dell'iniziale consenso, laddove l'opposizione riguarda, nell'ipotesi generale di cui al primo paragrafo dell'art. 21, una base a cui l'interessato è completamente estraneo, il che spiega la necessità di un giudizio di prevalenza. Sono diverse anche le casistiche applicative, posto che la base consenso non figura nell'art. 21.1. Rispetto alle due ipotesi speciali per marketing diretto e finalità statistica o di ricerca scientifica possono tuttavia verificarsi delle sovrapposizioni, ossia dei casi in cui l'interessato può esercitare tanto la revoca del consenso quanto l'opposizione al trattamento. Va ricordato infatti che sussistono alcune modalità di marketing diretto costruite sulla base del consenso, cfr. art. 130, commi 1 e 2 cod. priv., e che tale base può essere posta anche per finalità di ricerca, ad esempio ai sensi dell'art. 107 cod. priv. e in ambito medico, biomedico ed epidemiologico ai sensi dell'art. 110 cod. priv., al cui commento si rinvia. Infine, mentre la revoca del consenso è necessariamente successiva alla sua prestazione, è concettualmente possibile l'esercizio di una opposizione in via preventiva. Un esempio concreto in tal senso è costituito dall'opposizione per marketing diretto telefonico attraverso l'iscrizione al cd. “Registro delle opposizioni”, in conformita con l'art. 130, comma 3-bis, cod. priv. e con la normativa collegata.

Informativa specifica

L'art. 21, par. 4 GDPR, applicabile solo alle opposizioni disciplinate nei paragrafi 1 e 2, sembra costituire un'integrazione delle disposizioni generali in materia di informativa di cui agli artt. 13 e 14 GDPR, in chiave di favor dell'interessato. Questi, infatti, deve essere reso edotto della possibilità di opporsi in termini chiari e “separati da qualsiasi altra informazione”, al più tardi al momento della prima comunicazione. Ove tale informazione sia già stata resa in sede di informativa diretta, deve peraltro ritenersi che non sia necessaria la sua reiterazione, in applicazione dell'art. 13.4. Nel caso di informativa da rendere a seguito di raccolta indiretta dei dati personali, si osserva la compatibilità della previsione in commento con quella dell'art. 14, par. 3, lett. b) GDPR, per cui deve ritenersi che l'incombente di cui all'art. 21, par. 4 GDPR possa essere assolto contestualmente a quello dell'art. 14, par. 3 GDPR. In merito alle modalità concrete della presentazione all'interessato del diritto di opporsi in forma chiara e separata da qualsiasi altra informazione (cfr. considerando 70), non si rivengono precisazioni metodologiche. Secondo una logica funzionale, sembra corretto ritenere che sia idonea qualsiasi modalità che ponga in debito risalto il diritto all'opposizione, evitando cioè che il riferimento sia sommerso nel corpo di altre informazioni, e la fornitura di sintetiche spiegazioni all'interessato in merito all'opposizione, pur sempre nell'osservanza degli obblighi di concisione fissati dall'art. 12.1 GDPR.

Revoca dell'opposizione

Ancorché non sia previsto nulla in proposito, non si ravvisano ragioni contrarie a riconoscere un potere di revoca dell'opposizione. Naturalmente, in seguito all'opposizione esercitata ai sensi dei paragrafi 1 e 2 i dati personali vanno cancellati (art. 17, par. 1, lett. c) GDPR), per cui un'eventuale revoca, per avere effetti utili, deve raggiungere il titolare prima della cancellazione.

Interazione con altri diritti

Da ultimo, è utile evidenziare come il diritto in parola si coordini con quello di limitazione. Si rimanda al relativo commento.