Con una recente sentenza (n. 2631/2021) il Consiglio di Stato ha stabilito che la condotta di Facebook di dichiarare di offrire un servizio gratuito, omettendo di comunicare che, di fatto, l’utente questo servizio lo paga con i propri dati personali, integra una pratica commerciale scorretta.
La vicenda: AGCM vs Facebook
Il 6 aprile 2018 l’Autorità garante per la concorrenza ed il mercato dava avvio ad un procedimento istruttorio nei confronti delle società Facebook Inc. e Facebook Ireland Ltd, poiché veniva loro contestata la messa in campo di due distinte pratiche commerciali scorrette in violazione degli artt. 20, 21, 22, 24 e 25 d.lgs. 6 settembre 2005, n. 206 (cd. “Codice del consumo”).
In particolare, la pratica ingannevole di cui agli artt. 20, 21 e 22 del Codice del consumo che si realizza quando il professionista non informa adeguatamente e immediatamente l’utente, in fase di attivazione dell’account, dell’attività di raccolta e utilizzo, per finalità informative e/o commerciali, dei dati che egli cede, rendendolo edotto della sola gratuità della fruizione del servizio, così da indurlo ad assumere una decisione di natura commerciale che non avrebbe altrimenti preso (registrazione al social network e permanenza nel medesimo).
Con riferimento invece alla pratica aggressiva di cui agli artt. 20, 24 e 25 del Codice del consumo, il professionista eserciterebbe un indebito condizionamento nei confronti dei consumatori registrati, i quali, in cambio dell’utilizzo di Facebook, verrebbero “costretti” a consentire a Facebook/terzi la raccolta e l’utilizzo, per finalità informative e/o commerciali, dei dati che li riguardano (informazioni del proprio profilo Facebook, quelle derivanti dall’uso di Facebook e dalle proprie esperienze su siti e app di terzi), in modo inconsapevole e automatico, tramite un sistema di preselezione del consenso alla cessione e utilizzo dei dati, risultando indotti a mantenere attivo il trasferimento e l’uso dei propri dati da/a terzi operatori, per evitare di subire limitazioni nell’utilizzo del servizio, conseguenti alla deselezione.
Per tale violazioni il Garante comminava infine alla piattaforma social una sanzione amministrativa pecuniaria complessiva di 10 milioni di euro (di cui 5 milioni a Facebook Inc. e altrettanti 5 milioni a Facebook Ireland Ltd) nonché rilevanti oneri di pubblicazione e comportamentali per il futuro.
Nello specifico l’AGCM sottolineava che “Sino al 15 aprile 2018, l’utente che accedeva alla homepage di Facebook per registrarsi sulla Piattaforma (sito web e app), a fronte di un claim sulla gratuità del servizio offerto “Iscriviti é gratis e lo sarà per sempre”, non trovava un altrettanto evidente e chiaro richiamo sulla raccolta e uso a fini commerciali dei propri dati da parte di Facebook”.
Facebook attuava “un indebito condizionamento del consumatore-utente attraverso la richiesta dell’inserimento dei suoi dati sulla piattaforma, destinandoli poi alla profilazione commerciale con finalità di marketing, quale passaggio vincolante per poter accedere alla iscrizione, che veniva proclamata gratuita“.
Infatti, l’Autorità proseguiva dichiarando che: “i ricavi provenienti dalla pubblicità online, basata sulla profilazione degli utenti a partire dai loro dati, costituiscono l’intero fatturato di Facebook Ireland Ltd. e il 98% del fatturato di Facebook Inc.”
Le società facevano ricorso al TAR, il quale accoglieva parzialmente le loro doglianze e annullava il provvedimento impugnato nella parte in cui parte in cui l’Autorità aveva ritenuto aggressiva e meritevole di sanzione la pratica di cui agli artt. 20, 24 e 25 Cod. Cons.
Il TAR avvallava la ricostruzione della Autorità con riferimento alla solo pratica commerciale ingannevole, confermandone la capacità di imbrogliare l’utenza.
Specificava altresì che la raccolta e lo sfruttamento dei dati degli utenti a fini remunerativi si configuravano come “controprestazione” del servizio offerto dal social network, in quanto dotati di valore commerciale.
In particolare:
1) Controprestazione. Il TAR precisava che, sebbene Facebook sostenesse che l’insussistenza di un corrispettivo patrimoniale e di conseguenza nessun interesse economico dei consumatori da tutelare: “Il fenomeno della “patrimonializzazione” del dato personale, tipico delle nuove economie dei mercati digitali, impone agli operatori di rispettare, nelle relative transazioni commerciali, quegli obblighi di chiarezza, completezza e non ingannevolezza delle informazioni previsti dalla legislazione a protezione del consumatore, che deve essere reso edotto dello scambio di prestazioni che é sotteso alla adesione ad un contratto per la fruizione di un servizio, quale é quello di utilizzo di un social network”.
2) Disciplina applicabile. Il TAR escludeva che l’omessa informazione dello sfruttamento ai fini commerciali dei dati dell’utenza fosse una questione interamente disciplinata e sanzionata nel “Regolamento privacy”. Tra le previsioni recate dalla direttiva 2005/29 e quelle contenute nel GDPR intercorre un rapporto (non di esclusione reciproca ma) di complementarietà, “imponendo, in relazione ai rispettivi fini di tutela, obblighi informativi specifici, in un caso funzionali alla protezione del dato personale, inteso quale diritto fondamentale della personalità, e nell’altro alla corretta informazione da fornire al consumatore al fine di fargli assumere una scelta economica consapevole”
3) Informazione palesemente ingannevole. Nella condotta delle società ricorrenti emergeva una evidente informazione ingannevole, perché “il “claim” utilizzato da Facebook nella pagina di registrazione per invogliare gli utenti a iscriversi (“Iscriviti é gratis e lo sarà per sempre”) lasciava intendere l’assenza di una controprestazione richiesta al consumatore in cambio della fruizione del servizio”, mentre, per incompletezza delle informazioni fornite, l’utente non poteva immediatamente venire a sapere che a fronte della proclamata gratuità del servizio, per come dichiarata nel surriprodotto “claim”, “il professionista avrebbe poi utilizzato i dati dell’utente a fini remunerativi, perseguendo un intento commerciale”
4) Ricostruzione attendibile dei fatti. A ciò si aggiunga che l’Autorità, nel provvedimento sanzionatorio impugnato, “ha fornito una puntuale motivazione, supportata da una adeguata istruttoria, sulla carenza di sufficienti informazioni, nel processo di registrazione, circa il valore commerciale dei dati e allo scopo commerciale perseguito”, oltre ad avere dimostrato che il “banner cookie”, inserito successivamente all’avvio del procedimento, si è mostrato “inidoneo a far venire meno l’omissione e l’ingannevolezza riscontrata”, in quanto “oltre a non essere contestuale alla registrazione in FB, risulta generico oltreché scarsamente esplicativo e, laddove visualizzato in tale fase, nemmeno adiacente al pulsante di creazione dell’account”.
La sentenza veniva quindi impugnata.
La decisione del Consiglio di Stato
Avverso la pronuncia del TAR, Facebook ricorre dinanzi al Consiglio di Stato, il quale decide quanto segue.
a) Patrimonializzazione del dato personale
Nel ricorso, Facebook afferma la non commerciabilità del dato personale definendolo “res extra commercium” e pertanto sottraendolo alla disciplina consumeristica.
In altri termini, secondo la piattaforma di Zuckerberg, alla tutela del dato personale si applica unicamente la normativa di cui Regolamento UE 679/2016.
Di tutt’altro avviso il Consiglio di Stato, il quale afferma che “la patrimonializzazione del dato personale, che nel caso di specie avviene inconsapevolmente, costituisce il frutto dell’intervento delle società attraverso la messa a disposizione del dato – e della profilazione dell’utente – a fini commerciali”.
In buona sostanza, non si tratta di affermare se il diritto consumeristico possa o meno sovrapporsi al diritto alla tutela dei dati personali, essendo i due “diritti” in distinte categorie settoriali disciplinate da normative speciali e quindi non sovrapponibili tra di loro.
Ed ancora, ribadisce:
“Ferma dunque la riconosciuta “centralità” della disciplina discendente dal GDPR e dai Codici della privacy adottati dai Paesi membri in materia di tutela di ogni strumento di sfruttamento dei dati personali, deve comunque ritenersi che allorquando il trattamento investa e coinvolga comportamenti e situazioni disciplinate da altre fonti giuridiche a tutela di altri valori e interessi (altrettanto rilevanti quanto la tutela del dato riferibile alla persona fisica), l’ordinamento – unionale prima e interno poi – non può permettere che alcuna espropriazione applicativa di altre discipline di settore, quale è quella, per il caso che qui interessa, della tutela del consumatore, riduca le tutele garantite alle persone fisiche.”
Trattasi infatti dell’esigenza di garantire una “tutela multilivello” dei diritti delle persone fisiche, anche quando sfruttati per fini commerciali, all’insaputa dell’interessato-utente-consumatore.
Ciò chiarito, nella fattispecie, non rileva tanto la commercializzazione del dato personale da parte dell’interessato, quanto lo sfruttamento del dato personale reso disponibile dallo stesso in favore di un terzo soggetto che lo utilizzerà a fini commerciali, “senza che di tale destino l’interessato conosca in modo compiuto le dinamiche, fuorviato peraltro dalle indicazioni che derivano dalla lettura delle condizioni di utilizzo (come nel caso di specie) di una “piattaforma informatica”.”
b) Informazioni chiare ed adeguate
Il professionista (Facebook) è tenuto ad informare l’utente, che in questo caso si trasforma tecnicamente in “consumatore”, nel momento in cui rende disponibili i suoi dati al fine di potere utilizzare gratuitamente i servizi offerti dalle società Facebook.
Come detto, a fronte dunque della promessa gratuità del servizio l’utente era indotto ad accedere per ottenere i vantaggi “immateriali” costituiti dalla adesione e coinvolgimento in un social network in seguito all’iscrizione nella piattaforma mettendo a disposizione i propri dati personali, che venivano dunque coinvolti nella profilazione a fini commerciali senza che questi fosse stato reso edotto in modo efficace dell’esatta portata di tale utilizzo, che poteva essere interrotto, con revoca del consenso, solo in epoca successiva (difatti, pur potendo successivamente disattivare l’utilizzo dei dati, al momento della iscrizione in piattaforma l’utente non poteva esimersi dal cedere al professionista la mole di dati personali inseriti nel portale all’atto della registrazione e dall’autorizzarlo al loro trattamento) e a fronte di una capillare indicazione degli svantaggi che ne sarebbero conseguiti.
Siffatta condotta, come correttamente ritenuto dall’Autorità, integra gli elementi di una pratica commerciale ingannevole.
Inoltre, il Codice del consumo, all’art. 2, comma 2, lettere c), c-bis) ed e) riconosce ai consumatori ed agli utenti, come fondamentali:
- i diritti “ad una adeguata informazione e ad una corretta pubblicità”;
- i diritti “all’esercizio delle pratiche commerciali secondo principi di buona fede, correttezza e lealtà”; e
- i diritti “alla correttezza, alla trasparenza ed all’equità nei rapporti contrattuali”.
Il successivo art. 5, comma 3, del medesimo codice, stabilisce, poi, che “Le informazioni al consumatore, da chiunque provengano, devono essere adeguate alla tecnica di comunicazione impiegata ed espresse in modo chiaro e comprensibile, tenuto anche conto delle modalità di conclusione del contratto o delle caratteristiche del settore, tali da assicurare la consapevolezza del consumatore”.
Infine, il Consiglio aderendo all’orientamento maggioritario giurisprudenziale, evidenzia come l’obbligo di estrema chiarezza gravante sul professionista deve essere da costui assolto sin dal primo contatto, attraverso il quale debbono essere messi a disposizione del consumatore gli elementi essenziali per un’immediata percezione della offerta pubblicizzata.
Conclusione
Alle luci delle considerazioni svolte, il Consiglio di Stato ha rigettato il ricorso rilevando che, nel caso di specie, come correttamente rilevato sia dall’Autorità, sia dal giudice di prime cure, non risulta rispettato il descritto obbligo di chiarezza, atteso che le informazioni rese all’utente al primo contatto, lungi dal contenere gli elementi essenziali per comprendere le condizioni e i limiti delle conseguenze che, a fronte della gratuità dei servizi offerti, deriveranno dalla profilazione in termini di indefinibilità dei soggetti che utilizzeranno i dati personali messi a disposizione e del tipo di utilizzo commerciale connesso, lasciano supporre che sia possibile ottenere immediatamente e facilmente, ma soprattutto “gratuitamente” (e per tutto il periodo in cui l’utente manterrà l’iscrizione in piattaforma), il vantaggio collegato dal ricevimento dei servizi tipici di un social network senza oneri economici, omettendo di comunicare che, invece, ciò avverrà (e si manterrà) solo se (e fino a quando) i dati saranno resi disponibili a soggetti commerciali non definibili anticipatamente ed operanti in settori anch’essi non pre-indicati per finalità di uso commerciale e di diffusione pubblicitaria.
VP
