Le nuove disposizioni del Codice del consumo, introdotte per attuare la direttiva Ue 2019/770, si applicano, come si legge nell’articolo 135-octies del decreto legislativo 173/2021, non solo «a qualsiasi contratto in cui il professionista fornisce, o si obbliga a fornire, un contenuto digitale o un servizio digitale al consumatore e il consumatore corrisponde un prezzo o si obbliga a corrispondere un prezzo»; ma anche «nel caso in cui il professionista fornisce o si obbliga a fornire un contenuto digitale o un servizio digitale al consumatore e il consumatore fornisce o si obbliga a fornire dati personali al professionista, fatto salvo il caso in cui i dati personali forniti dal consumatore siano trattati esclusivamente dal professionista ai fini della fornitura del contenuto digitale o del servizio digitale a norma del presente capo o per consentire l’assolvimento degli obblighi di legge cui è soggetto il professionista e quest’ultimo non tratti tali dati per scopi diversi da quelli previsti».
Secondo una prima interpretazione, emersa all’indomani dell’approvazione del decreto legislativo 173/2021, i «dati personali» citati nel quarto comma dell’articolo 135-octies sarebbero il “corrispettivo” che il consumatore “paga” al professionista quando il contratto non prevede un “prezzo” per la fornitura dei contenuti o dei servizi digitali.
Questa lettura sembra in contrasto con il Considerando 24 della direttiva Ue 2019/770, che auspica che le tutele previste dalla stessa direttiva a favore del consumatore trovino applicazione anche per i «modelli commerciali» nei quali per «la fornitura di contenuti digitali o di servizi digitali» il consumatore «non paga un prezzo», fermo restando che «la protezione dei dati personali è un diritto fondamentale e che tali dati non possono dunque essere considerati una merce». In altri termini, nei propositi della Direttiva, i rimedi “sinallagmatici” approntati a tutela del consumatore per i contratti a prestazioni corrispettive (esecuzione della fornitura contro il pagamento del prezzo) devono estendersi anche ai contratti in cui è carente un corrispettivo in senso tecnico. Questa conclusione sembra essere avallata da due esempi contenuti nello stesso Considerando 24, che rappresentano, nelle intenzioni, due ipotesi in cui la normativa dovrebbe trovare applicazione:
1. il caso in cui il nome e l’indirizzo email forniti da un consumatore al momento della creazione di un account sui social media vengono «utilizzati per scopi diversi dalla mera fornitura di contenuti digitali o servizi digitali o non conformi agli obblighi di legge»;
2. il caso in cui il consumatore acconsente «a che il materiale che caricherà e che contiene dati personali, come fotografie o post, sia trattato a fini commerciali dall’operatore economico».
Al di là del difficile coordinamento con la disciplina prevista dal regolamento Ue 2016/679 (Gdpr), una interpretazione diversa comporterebbe problemi di non facile soluzione, sul piano del diritto civile. Uno per tutti, sul piano negoziale: in caso di risoluzione del contratto, non potendo ovviamente operare il meccanismo delle restituzioni rispetto ai dati personali “forniti” dal consumatore, sarebbe ammissibile un risarcimento per equivalente? Se sì, in base a quale criterio potrebbe liquidarsi il danno, posto che i dati in questione non sono una “merce”?