Source: http://dirittoegiustizia.it/allegati/16/0000087098/TAR_Lazio_sez_I_sentenza_n_261_20_depositata_il_10_gennaio.html
Timestamp: 2020-01-21 03:36:01+00:00
Document Index: 107241509

Matched Legal Cases: ['sentenza ', 'sentenza ', 'art. 6', 'art. 27', 'art. 6', 'art. 6', 'art. 3', 'art. 288', 'art. 9', 'art. 56', 'art. 7', 'art. 25', 'art. 27']

(TAR Lazio, sez. I, sentenza n. 261/20; depositata il 10 gennaio) - AMMINISTRATIVO | Diritto e Giustizia
TAR Lazio, sez. I, sentenza 18 dicembre 2019 – 10 gennaio 2020, n. 261
1. In data 6 aprile 2018 l’Autorità Garante della Concorrenza e del Mercato (in avanti, “Autorità” o “Agcm”) ha avviato il procedimento istruttorio PS1112 nei confronti di Facebook Inc. e Facebook Ireland Limited (la prima in seguito indicata anche come “Facebook” o “la società ricorrente”) in relazione a presunte pratiche commerciali scorrette in violazione degli articoli 20, 21, 22, 24 e 25 del decreto legislativo n. 206 del 6 settembre 2005 (cd. “Codice del Consumo”).
2. Veniva, in particolare, ipotizzata l’esistenza di due distinte pratiche commerciali aventi ad oggetto la raccolta, lo scambio con terzi e l’utilizzo, a fini commerciali, dei dati dei propri utenti consumatori, incluse le informazioni sui loro interessi on line.
4. La pratica sub b), qualificata come “aggressiva”, si concretizzava nella applicazione, in relazione agli utenti registrati sulla piattaforma, di un meccanismo che, secondo la ricostruzione dell’Autorità, comportava la trasmissione dei dati degli utenti dalla Piattaforma del social network ai siti “web/app” di terzi e viceversa, senza preventivo consenso espresso dell’interessato, per l’uso degli stessi a fini di profilazione e commerciali.
6. Il procedimento si concludeva con l’impugnato provvedimento n. 27432 del 29 novembre 2018 con il quale Agcm, conformemente al parere espresso dall’Autorità per le garanzie nelle comunicazioni (“AgCom”) deliberava che: la pratica a) posta in essere da Facebook Inc. e Facebook Ireland Ltd. costituiva una pratica commerciale scorretta ai sensi degli artt. 21 e 22, del Codice del Consumo; la pratica b) era scorretta ai sensi degli artt. 24 e 25, del Codice del Consumo. Vietava, altresì, la continuazione di entrambe le pratiche e applicava ad entrambe le società, in solido, due distinte sanzioni amministrative in relazione alle due pratiche, ciascuna pari a € 5.000.000,00. Era, inoltre, imposta la pubblicazione, a loro cura e spese, di una dichiarazione rettificativa allegata al provvedimento, ai sensi dell’articolo 27, comma 8, del Codice del Consumo, secondo le modalità riportate nel provvedimento stesso.
7. Avverso il provvedimento sanzionatorio Facebook Inc ha presentato ricorso, chiedendone l’annullamento per i seguenti motivi:
I. Sull'erronea applicazione del concetto di Parental Liability. Difetto assoluto di legittimazione passiva per violazione del principio di responsabilità personale negli illeciti amministrativi, di cui agli artt. 2 e 3, l. 689/1981, all'art. 6 e 7 Convenzione Europea dei Diritti dell'Uomo ("CEDU") e all'art. 27 Cost. Difetto di motivazione. Violazione del principio di legalità.
Secondo la ricorrente l'’utilizzo della “Parental Liability” in materia di pratiche commerciali non troverebbe un fondamento normativo, essendo proprio della materia “antitrust”, e si porrebbe in contrasto con alcuni fondamentali principi nazionali ed europei, quale quello del carattere personale della sanzione di cui all’articolo 2 della L. 689/1981 e artt. 6 e 7 della CEDU.
II. Sull'erronea applicazione del concetto di Parental Liability. Violazione dell'art. 6 CEDU e del principio del giusto procedimento. Violazione del principio di presunzione di innocenza. Eccesso di potere per difetto di istruttoria.
Il ricorso al concetto di “Parental Liability” si porrebbe anche in violazione del diritto di difesa di Facebook Inc. e del principio della presunzione di innocenza come sancito dall'articolo 48 della Carta dei Diritti Fondamentali dell'Unione Europea e dell'art. 6 CEDU. Parte ricorrente lamenta che nel corso del procedimento si sarebbe fatto riferimento per la prima volta a tale concetto solo nel provvedimento finale, nonostante già nel mese di aprile la parte aveva fatto presente di non essere coinvolta nella fornitura del servizio Facebook agli utenti italiani - e quindi la sua estraneità alle condotte poi sanzionate.
III. Difetto assoluto di attribuzione dell'AGCM, in quanto non si tratta di pratiche commerciali in mancanza di un corrispettivo patrimoniale e quindi della necessità di tutelare l'interesse economico dei consumatori. Violazione degli artt. 18 ss. del Codice del Consumo e della Direttiva 2005/29/CE (“Direttiva sulle pratiche commerciali sleali”).
Secondo la parte ricorrente, non sussisteva alcuna pratica commerciale e, quindi, alcuna competenza dell'Agcm. Ciò in quanto, deduce la ricorrente, il servizio di Facebook è fornito agli utenti gratuitamente, nel senso tecnico (ed oggettivo) che nessun corrispettivo patrimoniale (nemmeno indiretto) è richiesto. Richiamata la direttiva europea in materia di pratiche commerciali sleali, Facebook Inc. afferma che occorre che un consumatore acquisti e paghi (o sia indotto ad acquistare o pagare) un prodotto, perché si possa ipotizzare una pratica commerciale scorretta.
IV. Difetto assoluto di attribuzione dell'AGCM, “ratione materiae”, ossia in quanto la disciplina da applicare era unicamente quella sulla privacy (Regolamento UE 2016/679, "Regolamento privacy"). Violazione del principio di specialità, di cui all''art. 3, co. 4, della Direttiva sulle pratiche commerciali sleali. Violazione del Regolamento Privacy.
V. Violazione della riserva di regolamento UE, quale stabilita dall'art. 288, co. 2, TFUE e dalla giurisprudenza dell'Unione Europea. Violazione del considerando 13 del Regolamento UE 2016/679.
VI. Violazione del principio di specialità in materia sanzionatoria. Violazione dell'art. 9, l. 689/1981. Violazione dei principi sul concorso apparente di norme sanzionatorie.
Poiché tra le sanzioni “privacy” ipoteticamente infliggibili e quelle per pratiche commerciali scorrette sussiste, secondo la prospettazione di parte ricorrente, un rapporto di specialità in favore delle prime, unicamente queste sarebbero ipotizzabili in presenza di un illecito, inteso come fatto storico della condotta, da non considerare in termini astratti o in relazione ai beni giuridici protetti dalla varie discipline sanzionatorie.
VII. Violazione dell'art. 56 del Regolamento UE 2016/679. Difetto assoluto di attribuzione.
Ai sensi del “Regolamento privacy”, sussisterebbe la competenza esclusiva all'Autorità capofila (nella specie l'Autorità privacy irlandese, data la sede del titolare del trattamento dei dati) in qualità di unico interlocutore per quanto riguarda il trattamento transfrontaliero. Ne consegue, secondo la tesi di parte ricorrente, che nessuna Autorità italiana (anche se per ipotesi competente in materia “privacy”) avrebbe potuto esercitare diretti poteri di controllo e sanzione sulle pratiche qui in questione, dato che il trattamento dei dati non riguardava la sola Italia ma aveva carattere europeo.
VIII. Violazione del principio di legalità/prevedibilità. Violazione dell'art. 7 CEDU e dell'art. 25 Cost.. Violazione del considerando 13 del Regolamento UE 2016/679.
IX. Inesistenza di qualsivoglia condotta in violazione della disciplina sulle pratiche commerciali scorrette. Violazione del Codice del Consumo e della disciplina privacy. Inesigibilità della condotta richiesta per irrisolvibile contraddittorietà tra gli standard privacy e quelli prospettati dall'AGCM.
X. In via subordinata, violazione del principio di proporzionalità quanto all'obbligo di pubblicazione della dichiarazione rettificativa e alle misure imposte per superare la pretesa condotta illecita. Violazione degli artt. 24 e 41 Cost.
In subordine all’accoglimento dei precedenti motivi, Facebook Ireland contesta anche l’obbligo di
pubblicare la dichiarazione rettificativa, nonché quello di porre fine alle presunte infrazioni in solo 90 giorni.
Non sarebbe proporzionato nemmeno l’invito alla cessazione delle violazioni da realizzare entro 90
giorni, in quanto le misure richieste imporrebbero a Facebook notevoli cambiamenti sulla propria infrastruttura, i quali, anche se formalmente solo a livello italiano, si imporrebbero di fatto a livello globale, dato l'intrinseco carattere unitario di un “social media”.
10. All’esito dell’udienza pubblica del 17 aprile 2019, è stata disposta istruttoria al fine di acquisire dalla parte ricorrente informazioni relative a talune modifiche sulle proprie condizioni d’uso, relative alle modalità di utilizzo dei dati dei consumatori, in procinto di essere adottate a seguito di un impegno assunto con la Commissione europea.
12. In vista della nuova trattazione della causa, le parti hanno depositato ulteriori memorie, insistendo nelle reciproche posizioni.
2. La prima pratica riguarda la fase di registrazione dell’utente nella Piattaforma FB (sito “web” e “app”) e consiste nel rilascio di una un’informativa ritenuta poco chiara e incompleta.
Nello specifico, l’Autorità rilevava che ”Sino al 15 aprile 2018, l’utente che accedeva alla homepage di FB per registrarsi sulla Piattaforma (sito web e app), a fronte di un claim sulla gratuità del servizio offerto “Iscriviti E’ gratis e lo sarà per sempre”, non trovava un altrettanto evidente e chiaro richiamo sulla raccolta e uso a fini commerciali dei propri dati da parte di FB” (cfr. par. 18 del provvedimento). L’informazione era ritenuta non veritiera e fuorviante in quanto la raccolta e sfruttamento dei dati degli utenti a fini remunerativi si configurava come contro-prestazione del servizio offerto dal social network, in quanto dotati di valore commerciale. In particolare, osservava Agcm, “i ricavi provenienti dalla pubblicità on line, basata sulla profilazione degli utenti a partire dai loro dati, costituiscono l’intero fatturato di Facebook Ireland Ltd. e il 98% del fatturato di Facebook Inc.”.
4. Passando all’esame del merito della controversia, per ragioni di carattere espositivo saranno innanzitutto scrutinati i primi due motivi di ricorso, in cui l’esponente deduce l’inapplicabilità nei propri confronti dell’istituto della “parental liability”.
Occorre precisare che il Provvedimento, nell’affrontare ai parr. da 50 a 53 il tema dell’imputazione anche a Facebook Inc. delle condotte sanzionate, la riconduce a una duplice fonte: la presenza di un controllo totalitario e, quindi, di un’influenza determinante sull’attività di Facebook Ireland; l’omessa vigilanza sull’operato della “società figlia”, individuata quale contegno idoneo alla realizzazione delle pratiche commerciali scorrette. Aggiunge anche l’Autorità che “Facebook Inc. ha beneficiato delle condotte scorrette di Facebook Ireland, avendo le stesse incrementato la dimensione del social network, così aumentando il valore del network Facebook”.
Deve, quindi, in primo luogo escludersi che la responsabilità si sia fondata esclusivamente sulla nozione di “parental liability”, ossia la presunzione per la quale la capogruppo risponde della condotta delle controllate allorché sia dimostrato che la stessa ha esercitato una influenza determinante sulla condotta di mercato delle stesse. L’Autorità ha, infatti, individuato anche una forma di responsabilità autonoma di Facebook Inc., da omissione “in vigilando”, che si affianca al diretto interesse economico, avendo essa beneficiato delle condotte di Facebook Ireland.
Deve, inoltre, aggiungersi che anche nell’ambito della tutela del consumatore può trovare applicazione, come accaduto nella presente fattispecie, l’orientamento giurisprudenziale, secondo cui “nella materia antitrust […] in presenza di una società che detiene il 100% del capitale sociale di un'altra società, si presume che la società controllante eserciti un'influenza determinante nello svolgimento dell'attività della controllata, tale da farla ritenere responsabile per gli illeciti da quest'ultima materialmente realizzati” (Tar Lazio, sez. I, 2 novembre 2012, n. 9001).
La richiamata giurisprudenza di questa Sezione individua anche le ragioni per le quali il principio per cui la controllante risponde dell’illecito “antitrust” posto in esser dalla controllata deve essere applicato anche in materia di sanzioni per pratiche commerciali scorrette, evidenziando che “…la segnalata diversità dei due pacchetti normativi (antitrust e tutela del consumatore) non elide la matrice e la ratio comune degli stessi, che, quand’anche sotto diversi angoli visuali, attengono, per entrambi, alla tutela dell’endiade costituita dal mercato e dalla libertà di concorrenza. Di talchè una diversa graduazione delle modalità attuative dei relativi strumenti sanzionatori, quale quella auspicata dalla ricorrente, che vedrebbe, nello specifico, meno attrezzata proprio la normazione destinata alla protezione del consumatore, ovvero del soggetto che si profila nello scenario comune di riferimento dei due citati ordinamenti di settore quale attore più debole, e nei confronti del quale l’esigenza di tutela deve, quindi, trovare più marcata considerazione, non risulta sorretta da alcuna ragionevole motivazione” (Tar Lazio, Roma, sez. I, n. 9001/2012, cit.).
L’interpretazione posta in essere dall’Autorità, in conclusione, appare rispettosa del principio di personalità dell’illecito inteso in senso sostanziale ed effettuale, principio a cui si ispira l’intera normativa in materia di tutela del consumatore.
Né si ravvisano possibili profili di lesione del diritto di difesa della società ricorrente, che è stata ampiamente messa nelle condizioni di partecipare al procedimento e svolgere le proprie difese nel corso dello stesso.
5. Accertata la sussistenza l’imputabilità anche alla parte ricorrente delle pratiche commerciali oggetto di sanzione, è possibile passare all’esame delle questioni riguardanti la prima condotta sanzionata.
7. La possibilità di uno sfruttamento economico del dato personale nell’ambito delle piattaforme social e la conseguente necessità di tutelare il consumatore che le utilizzi non può neppure definirsi, come prospettato da Facebook, un concetto del tutto innovativo, frutto di una interpretazione “estensiva” di norme sanzionatorie, come tale contraria al principio di prevedibilità.
La stessa Agcm, conformemente alle indicazioni provenienti in ambito comunitario, aveva sanzionato l’11 maggio 2017 con il provvedimento PS10601 un operatore di “social network”, per pratiche commerciali scorrette nei confronti della propria utenza, osservando che il patrimonio informativo costituito dai dati degli utenti e la profilazione degli utenti medesimi a uso commerciale e per finalità di marketing “acquista, proprio in ragione di tale uso, un valore economico idoneo, dunque, a configurare l’esistenza di un rapporto di consumo tra il Professionista e l’utente” (cfr. il par. 54 del richiamato provvedimento).
Anche nella decisione della Commissione Europea del 3 ottobre 2014 e pubblicata il 19 novembre 2014, che ha autorizzato la concentrazione relativa all’acquisizione da parte di Facebook di tale “social network”, erano presenti considerazioni sul valore economico dei dati degli utenti.
Da ultimo, l’esistenza di prestazioni corrispettive nei contratti per la fornitura di servizi di “social media” è stata affermata anche dal Network europeo di autorità nazionali per la cooperazione della tutela dei consumatori di cui al Regolamento 2006/2004/CE. Nell’affrontare il tema della possibile contrarietà delle Condizioni d’Uso della piattaforma Facebook alla direttiva 93/13/CEE, concernente le clausole abusive nei contratti con i consumatori, il Network ha avuto modo di affermare che tale direttiva “si applica a tutti i contratti tra consumatori e professionisti, a prescindere dalla natura onerosa di tali contratti, inclusi i contratti in cui il contenuto e la profilazione generati dal consumatore rappresentano la controprestazione alternativa al denaro” (cfr. pag. 19 della lettera del 9 novembre 2016 inviata a Facebook con cui è stata trasmessa la Posizione Comune del Network, allegata alla memoria di parte ricorrente del 28 giugno 2019).
9. Per le medesime ragioni, non esiste neppure il paventato rischio di un effetto plurisanzionatorio della medesima condotta (intesa come identico fatto storico) posta in essere dal professionista che gestisce il social network. L’oggetto di indagine da parte delle competenti autorità riguarda, infatti, condotte differenti dell’operatore, afferenti nel primo caso al corretto trattamento del dato personale ai fini dell’utilizzo della piattaforma e nel secondo caso alla chiarezza e completezza dell’informazione circa lo sfruttamento del dato ai fini commerciali.
10. Dunque, in termini generali, il valore economico dei dati dell’utente impone al professionista di comunicare al consumatore che le informazioni ricavabili da tali dati saranno usate per finalità commerciali che vanno al di là della utilizzazione del social network: in assenza di adeguate informazioni, ovvero nel caso di affermazioni fuorvianti, la pratica posta in essere può quindi qualificarsi come ingannevole.
In argomento, il provvedimento ha fornito una puntuale motivazione, supportata da una adeguata istruttoria, sulla carenza di sufficienti informazioni, nel processo di registrazione, circa il valore commerciale dei dati e allo scopo commerciale perseguito. L’affermazione di parte ricorrente secondo cui l’onere informativo imposto a Facebook imporrebbe uno standard inconciliabile con gli Orientamenti sulla trasparenza ai sensi del “Regolamento Privacy” rimane indimostrata e, anzi, contraddetta dagli “Orientamenti per l’attuazione/applicazione della direttiva 2005/29/CE relativa alle pratiche commerciali sleali” del 2016, che impongono espressamente ai professionisti di non occultare l’intento commerciale di una pratica.
La circostanza, poi, che ai fini della predisposizione della cosiddetta “informativa privacy” i relativi orientamenti suggeriscano una suddivisione in sezioni ovvero “stratificata on line” non è rilevante ai fini della carenza informativa del claim rilevata dall’Autorità, in ragione della diversità dei campi di applicazione e degli strumenti di tutela previsti dalle relative normative di settore.
12. L’Autorità nel provvedimento impugnato ha anche ampiamente confutato le tesi di parte ricorrente circa la completezza e chiarezza delle informazioni successivamente accessibili tramite link alla Normativa dati, alle Condizioni d’uso e Normativa Cookie, rilevando, alla stregua di un giudizio logicamente formulato, come le informazioni in questione non fossero né chiaramente né immediatamente percepibili. Quanto al “banner cookie”, inserito successivamente all’avvio del procedimento, è stato legittimamente ritenuto dall’Autorità inidoneo a far venire meno l’omissione e l’ingannevolezza riscontrata, in quanto “oltre a non essere contestuale alla registrazione in FB, risulta generico oltreché scarsamente esplicativo e, laddove visualizzato in tale fase, nemmeno adiacente al pulsante di creazione dell’account” (par. 21).
14. Quanto alle doglianze circa l’obbligo di pubblicare una dichiarazione rettificativa, occorre premettere che si tratta di una misura accessoria prevista dell’art. 27, comma 8 del codice del consumo, secondo cui, con il provvedimento che irroga la sanzione pecuniaria, “…può essere disposta, a cura e spese del professionista, la pubblicazione della delibera, anche per estratto, ovvero di un’apposita dichiarazione rettificativa, in modo da impedire che le pratiche commerciali scorrette continuino a produrre effetti”.
Infine, quanto alle deduzioni di Facebook, compendiate in una relazione tecnica allegata al ricorso, in cui si sostiene di non potere ottemperare pienamente alla misura imposta dall’Autorità, anche in ragione della genericità di alcune indicazioni, il Collegio osserva, in relazione alle criticità ravvisate in relazione alle modifiche da apportare alla “app” di Facebook, che non risulta dimostrata l’impossibilità tecnica di realizzarle attraverso il rilascio di un aggiornamento dell’applicazione. Quanto alle altre difficoltà tecniche prospettate dalla ricorrente (quali quelle relative al formato della dichiarazione e alla visualizzazione del “pop-up” agli utenti italiani e per una sola volta) si tratta di questioni di carattere interpretativo, che non incidono sulla corretta imposizione della misura ma al più potranno essere affrontate dalla parte e dall’Autorità in sede di verifica dell’ottemperanza al provvedimento stesso, entro il cui ambito l’Agcm sarà tenuta a fornire a Facebook ogni chiarimento necessario per consentire una compiuta esecuzione della misura.
15. E’ possibile passare allo scrutinio delle censure riguardanti la pratica sub b) decritta nel provvedimento impugnato, che ha ad oggetto il meccanismo di trasmissione dei dati degli utenti registrati a Facebook dalla Piattaforma (sito “web/app”) del “social network” ai siti “web/app” di terzi.
L’Autorità ha rilevato che la Piattaforma era “…automaticamente attivata con validità autorizzativa generale, senza alcun preventivo consenso espresso da parte dell’utente in quanto la relativa opzione risultava preselezionata da FB, residuando, in capo al soggetto interessato, una mera facoltà di opt-out”. L’Autorità ha affermato che l’utente veniva indotto a credere che, in caso di disattivazione della Piattaforma, le conseguenze per lui penalizzanti, sia nella fruizione del “social network”, sia nella accessibilità e utilizzo dei siti “web” e “app” di terzi, sarebbero state ben più ampie e pervasive rispetto a quanto realmente previsto e tecnicamente necessario (par. 61).
In definitiva, secondo l’Autorità, nonostante alcune modifiche operate dal professionista dopo l’avvio del procedimento sanzionatorio, sussisteva una pratica commerciale aggressiva in quanto Facebook continuava nella condotta di “…preflaggare le opzioni a disposizione dell’utente e di disincentivarne la deselezione ricorrendo all’uso di espressioni atte a condizionare l’utente sulla reale portata delle conseguenze derivanti dalla deselezione medesima” (par. 63).
16. La ricostruzione del modello di funzionamento del meccanismo di integrazione delle piattaforme riportata nel provvedimento sconta dei travisamenti in punto di fatto che, come dedotto nel nono motivo di ricorso, nella sezione B), lett. i), inficiano la correttezza del percorso motivazionale seguito dall’Autorità.
Difatti, come documentato nell’allegato rubricato “doc. n. 5” al ricorso, al fine di realizzare l’integrazione, è necessario compiere numerosi passaggi, che si concludono solo quando, una volta raggiunta tramite il login di Facebook la “app” di terzi, l’utente decide di procedere alla sua installazione.
Anche nei casi in cui determinate applicazioni terze prevedano un meccanismo di integrazione diverso dal “Facebook login” (quali i “plug-in” “social” “Mi piace” o “Condividi”) Facebook avverte nella Normativa sui dati della possibilità che questi possono ricevere informazioni su ciò che l’utente pubblica o condivide e che “le informazioni raccolte da tali soggetti terzi sono soggette alle loro condizioni e normative, non alle nostre” (cfr. il doc. 6 allegato al ricorso).
19. L’accoglimento solo parziale del ricorso giustifica la compensazione delle spese di lite.