IL COMMENTO - Class action contro Meta a tutela dei dati, via libera dal tribunale all'azione di indennizzo dei consumatori

Tra il gennaio 2018 e il settembre 2019, Meta Platforms Ireland Limited, la società di diritto irlandese che gestisce il noto social network Facebook, ha subito data scraping (l'estrazione automatica di dati). Dell'evento la medesima società ha dato comunicazione il 6 aprile 2021. Di conseguenza, il 14 aprile 2021, l'Autorità irlandese di protezione dei dati (Data Protection Commission) ha iniziato un'indagine che ha concluso il 28 novembre 2022 irrogando, in applicazione dell'articolo 25 del GDPR, una sanzione di 265 milioni di Euro ed imponendo una serie di misure correttive. Al fine di tutelare gli utilizzatori italiani di Facebook, l'Associazione Verbraucherzentrale Südtirol VFG - Centro Tutela Consumatori Utenti APS di Bolzano ha promosso cumulativamente due azioni rappresentative: - una inibitoria, con cui chiede l'adozione di misure idonee a evitare il ripetersi di episodi simili; - una compensativa, per dare ristoro economico a ciascun utilizzatore per la perdita dei dati. Con l'ordinanza in commento del 10 aprile 2025, la Sezione Specializzata in materia di Impresa A del Tribunale di Milano ha dichiarato ammissibili entrambe le azioni rappresentative ex articoli 140-octies e 140-novies del Codice del consumo e con specifico riferimento alla seconda ha individuato due classi di interessati, che hanno subito: - il «timore della perdita di controllo su tali dati» (per essere inseriti in questa classe sono necessari: 1. la qualità di consumatore, restando esclusi i profili Facebook di persone giuridiche nonché di persone fisiche, ma per lo svolgimento di un'attività professionale; 2. l'essere stati utenti nel periodo rilevante; 3. «la prova del pregiudizio non patrimoniale patito a causa dell'evento dannoso desumibile, anche in via presuntiva, dalle seguenti circostanze: l'essersi attivato in tempi congrui dalla diffusione del comunicato per verificare l'eventuale avvenuta esfiltrazione dei propri dati, ad esempio inviando a Meta eventuali richieste di informazioni e/o l'aver cambiato nello stesso periodo il proprio numero di telefono e/o indirizzo e-mail e/o altri dati di contatto»); - un «turbamento legato alla c.d. "perdita di controllo" dei dati per essere stati questi effettivamente illecitamente esfiltrati» (per essere inseriti in questa seconda classe è necessario altresì: 4. la prova dell'effettiva sottrazione illecita dei dati personali, suscettibile di essere fornita avvalendosi delle risultanze del sito web https://haveibeenpwned.com).

LE MASSIME

Privacy - Dati personali - Gdpr - Lamentata violazione - Azione rappresentativa degli interessi collettivi dei consumatori - Giurisdizione del giudice italiano - Nei confronti di una società irlandese - Sussistenza in Italia di una "succursale" - Società di diritto italiano svolgente attività connessa a quella della società irlandese - Succursale - Sufficienza. (Regolamento UE 679/2016, 27 aprile 2016, articolo 79; Codice del consumo, articolo 140-ter)

Sussiste la giurisdizione del giudice italiano per l'azione rappresentativa degli interessi collettivi dei consumatori promossa per violazione del Regolamento UE 679/2016 (GDPR: General Data Protection Regulation) nei confronti della società di diritto irlandese, responsabile e titolare della raccolta di dati su una piattaforma di social network, (attività funzionale a migliorare il proprio sistema pubblicitario), ove in Italia sussista una "succursale" e tale deve essere considerata la società, di diritto italiano, appartenente al medesimo gruppo societario, che abbia come oggetto sociale lo svolgimento di qualsiasi attività connessa all'acquisto, vendita o a qualsiasi altra transazione commerciale relativa a spazi pubblicitari online sulle pagine web create o visitate dagli utenti del social network.

Consumatore - Azione rappresentativa degli interessi collettivi dei consumatori - Attuazione della Direttiva europea - Adozione del modello dell'opt in, da esercitarsi nella fase successiva al vaglio di ammissibilità della domanda. (Direttiva UE 2020/1828, 25 novembre 2020, articolo 9; Cpc, articolo 840-septies; Codice del consumo, articoli 140-ter e 140-novies; Dlgs 10 marzo 2023, n. 28, articolo 1)

Il Dlgs 10 marzo 2023, n. 28, che ha introdotto nel Codice del consumo gli articoli da 140-ter a 140-quaterdecies, recanti la disciplina delle azioni rappresentativa degli interessi collettivi dei consumatori, ha dato attuazione alla Direttiva UE 2020/1828, prevedendo un meccanismo di adesione all'azione rappresentativa da parte dei consumatori interessati secondo il criterio dell'opt in da esercitarsi nella fase successiva al vaglio di ammissibilità della domanda.

Consumatore - Azione rappresentativa degli interessi collettivi dei consumatori - Legittimazione attiva - Enti iscritti all'elenco di cui all'articolo 137 del Codice del consumo - Diversità di requisiti per gli enti operanti esclusivamente in territori con minoranze linguistiche costituzionalmente riconosciute - Irrilevanza - Potere del giudice di verifica dei presupposti per l'iscrizione - Esclusione - Potere del giudice di verificare la coerenza tra oggetto della domanda e oggetto sociale dell'ente. (Codice del consumo, articoli 137, 140-ter e 140-septies)

Legittimati a proporre azioni rappresentative degli interessi collettivi dei consumatori, sia compensative sia inibitorie, sono tutti gli enti iscritti all'elenco ex articolo 137 del Codice del consumo (ai sensi dei commi tanto 2, quanto 5, per le "associazioni … operanti esclusivamente nei territori ove risiedono minoranze linguistiche costituzionalmente riconosciute"), senza che il giudice né debba né possa compiere un vaglio circa il possesso dei requisiti già svolto in sede amministrativa, dovendo invece verificare che l'oggetto della domanda sia coerente con l'oggetto sociale dell'ente.

Privacy - Dati personali - GDPR - Lamentata violazione - Azione rappresentativa degli interessi collettivi dei consumatori - Mandato dei consumatori interessati all'ente legittimato - Necessità - Esclusione. (Regolamento UE 679/2016, 27 aprile 2016, articolo 80; Direttiva UE 2020/1828, 25 novembre 2020, articolo 9; Codice del consumo, articolo 140-ter)

L'azione rappresentativa degli interessi collettivi dei consumatori, ex articoli 140-ter e seguenti del Codice del consumo, di attuazione della Direttiva UE 2020/1828, in materia disciplinata dal Regolamento UE 679/2016 (GDPR: General Data Protection Regulation) non presuppone l'esistenza di un previo mandato da parte dei consumatori interessati.

Consumatore - Azione rappresentativa degli interessi collettivi dei consumatori - Azione inibitoria - Previa richiesta di cessazione del comportamento lesivo - Mancato invio - Improcedibilità - Difetto di espressa previsione - Esclusione. (Codice del consumo, articolo 140-octies; Dlgs 4 marzo 2010, n. 28, articolo 5)

Il mancato invio preventivo della richiesta della cessazione del comportamento lesivo, richiesto dall'articolo 140-octies, comma 8, del Codice del consumo, in difetto di un'espressa previsione in tal senso, a differenza di quanto stabilito dall'articolo 5 del Dlgs 4 marzo 2010, n. 28, non comporta l'improcedibilità dell'azione inibitoria rappresentativa degli interessi collettivi dei consumatori.

Consumatore - Azione rappresentativa degli interessi collettivi dei consumatori - Fase di ammissibilità - Valutazione della fondatezza della domanda - Esclusione - Valutazione prognostica e probabilistica della non manifesta infondatezza in fatto e in diritto - Valutazione delle prove - Esclusione - Interpretazione di norme prive di un'interpretazione consolidata - Esclusione - Attività riservate alla fase di merito - Fattispecie. (Codice del consumo, articolo 140-septies)

Nella fase di ammissibilità dell'azione rappresentativa degli interessi collettivi dei consumatori il tribunale deve compiere una valutazione non, in positivo, della fondatezza della domanda, bensì - in negativo, di tipo prognostico o probabilistico, di esclusione della sussistenza di circostanze di fatto o di ragioni di diritto, che rendano evidente o manifesta l'infondatezza della domanda ed inutile ogni ulteriore approfondimento anche istruttorio, basandosi sulla sussistenza del fumus in ordine alle violazioni dedotte, alla stregua delle prospettazioni delle parti, ferma restando, da un lato, la completa valutazione del materiale probatorio da effettuare soltanto nel giudizio di merito e, dall'altro lato, l'impossibilità di affrontare e risolvere questioni di diritto che implicano l'interpretazione di dati normativi, anche recenti, su cui non vi siano precedenti giurisprudenziali o si ravvisino contrastanti letture ermeneutiche sia in dottrina che in giurisprudenza (Nella specie, avendo rilevato che il fatto storico lamentato come lesivo - la massiva esfiltrazione dei dati degli utenti - risulta sostanzialmente non contestato, il tribunale ha dichiarato ammissibili le azioni rappresentative compensativa ed inibitoria, precisando saranno da accertare nella fase di merito i profili relativi: - quanto all'una, all'idoneità delle condotte ed omissioni lamentate a costituire violazione del Regolamento UE 679/2016, al nesso di causalità, alla connessa eccezione di non imputabilità ex articolo 82 del Regolamento citato, alla c.d. "perdita di controllo" degli utenti sui dati personali e alla sussistenza del conseguente danno non patrimoniale; - quanto all'altra, alle difese in merito alla non attualità delle richieste per essere già state adottate soluzioni tecniche idonee a prevenire future attività illecite).

Consumatore - Azione rappresentativa degli interessi collettivi dei consumatori - Azione compensativa - Fase di ammissibilità - Valutazione della omogeneità dei diritti lesi - Serialità sufficiente a consentire la trattazione cumulativa di situazioni afferenti a soggetti diversi - Unicità del fatto plurioffensivo da cui derivano plurime voci di danno - Liquidabilità secondo criteri suscettibili di standardizzazione per singola tipologia - Necessità. (Codice del consumo, articolo 140-septies)

Il requisito dell'omogeneità dei diritti lesi ex articolo 140-septies, comma 8, lettera c), del Codice del consumo, sussiste ove la serialità della pretesa azionata sia sufficiente da consentire la trattazione cumulativa di situazioni afferenti a soggetti diversi: in particolare, le azioni rappresentative compensative sono ammissibili anche nel caso in cui dal medesimo fatto plurioffensivo possano derivare diverse voci di danno, purché queste siano liquidabili secondo criteri suscettibili di una standardizzazione per singola tipologia.