Source: https://dirittodiinternet.it/t-r-caso-facebook-dati-personali-controprestazione-contrattuale-avviato-procedimento-inottemperanza-parte-dellantitrust-tar-lazio-10-gennaio-2020-n-ri-260-261/
Timestamp: 2020-02-18 04:30:13+00:00
Document Index: 162776489

Matched Legal Cases: ['art. 27', 'art. 6', 'art. 27', 'art. 6', 'art. 6', 'art. 3', 'art. 288', 'art. 9', 'art. 56', 'art. 7', 'art. 25']

T.A.R., caso Facebook: i dati personali come controprestazione contrattuale. Avviato procedimento di inottemperanza da parte dell’Antitrust [Tar Lazio 10 gennaio 2020, n.ri 260 e 261] - Marta Bianchi T.A.R., caso Facebook: i dati personali come controprestazione contrattuale. Avviato procedimento di inottemperanza da parte dell’Antitrust [Tar Lazio 10 gennaio 2020, n.ri 260 e 261] - Marta Bianchi
di Marta Bianchi - 13 febbraio 2020
*** N.b. Le sentenze saranno oggetto del commento del prof. Fabio Bravo nel fascicolo 2 del 2020 della Rivista Cartacea ***
Con sentenze nn. 260 e 261 del 10 gennaio scorso, il TAR Lazio ha parzialmente accolto il ricorso volto all’annullamento del provvedimento dell’Autorità Garante della Concorrenza e del Mercato (di seguito, “Autorità” o “AGCM”) con cui è stato accertato che le società Facebook Ireland Ltd. e Facebook Inc. (di seguito, “Facebook”) hanno posto in essere due pratiche commerciali scorrette e, per gli effetti, è stato imposto loro, in solido, il pagamento di due sanzioni amministrative pecuniarie di importo pari a complessivi 10 milioni di Euro, .
L’Autorità, con delibera n. 27432 del 29 novembre 2018, aveva accertato due pratiche commerciali scorrette da parte di Facebook aventi ad oggetto la raccolta, lo scambio con terzi e l’utilizzo a fini commerciali dei dati personali dei propri utenti.
La prima condotta , ritenuta pratica ingannevole ai sensi degli artt. 21 e 22 del Codice del Consumo, consisteva nell’omessa adeguata informativa agli utenti, in sede di registrazione al social network, della raccolta e dell’utilizzo ai fini di profilazione commerciale dei loro dati e, più in generale, delle finalità remunerative sottese alla fornitura del servizio enfatizzandone, al contrario, la gratuità. A parere dell’Autorità, le informazioni fornite, generiche ed incomplete, sarebbero risultate in grado di indurre l’utente-consumatore ad assumere una decisione di natura commerciale che altrimenti non avrebbe preso.
La seconda condotta, qualificata invece come pratica aggressiva ai sensi degli artt. 24 e 25 del Codice del Consumo, si sostanziava nella trasmissione dei dati degli utenti registrati a siti “web/app” terzi, senza espresso e preventivo consenso degli stessi. Nello specifico, l’indebito condizionamento sarebbe derivato dall’applicazione di un meccanismo di preselezione del più ampio consenso alla condivisione dei dati residuando, in capo all’utente, una mera facoltà di opt-out. Inoltre, secondo l’AGCM, l’utente sarebbe stato indotto a credere che in caso di disattivazione dell’opzione preselezionata vi sarebbero state rilevanti limitazioni alla fruibilità del servizio, con l’effetto di indurlo a non modificarne la scelta.
Il TAR, con riguardo alla prima condotta sanzionata, richiamando anche i più recenti orientamenti della Commissione europea, ha aderito alla decisione dell’Autorità, riconoscendo il valore economico del dato personale. Difatti, viene affermato che il dato personale può costituire un “asset” disponibile in senso negoziale in quanto suscettibile di sfruttamento economico e, pertanto, idoneo ad assurgere alla funzione di “controprestazione” di un contratto. Di guisa che, anche in assenza di un corrispettivo monetario, il patrimonio informativo costituito dai dati degli utenti acquista un valore economico idoneo a configurare l’esistenza di un rapporto di consumo. Ad avviso del Tribunale, il fenomeno della “patrimonializzazione” del dato personale, impone dunque agli operatori «di rispettare, nelle relative transazioni commerciali, quegli obblighi di chiarezza, completezza e non ingannevolezza delle informazioni previsti dalla legislazione a protezione del consumatore, che deve essere edotto dello scambio di prestazioni che è sotteso alla adesione ad un contratto per la fruizione di un servizio, quale è quello di utilizzo di un “social network”».
Da tali considerazioni discende la conseguenza per cui i dati personali, oltre che essere oggetto di specifiche tutele ai sensi del Regolamento generale sulla protezione dei dati (c.d. “GDPR”), devono essere altresì protetti in quanto potenziali oggetti di compravendita, individuando tra la normativa privacy e quella consumeristica un rapporto di complementarietà.
Il giudice di primo grado ha, inoltre, ritenuto giustificata e proporzionata rispetto alle finalità perseguite l’applicazione della misura accessoria disposta dall’Autorità ai sensi dell’art. 27, co. 8, del Codice del Consumo, consistente nell’obbligo di Facebook di pubblicare una dichiarazione rettificativa sul proprio sito internet, sull’app e sulla pagina personale di ciascun utente registrato.
Viceversa, con riferimento alla seconda pratica contestata, il TAR ha accolto le censure sollevate dai ricorrenti, ravvisando travisamenti nella ricostruzione del modello di funzionamento del meccanismo di “opt-in” preimpostato, nonché l’assenza di elementi sufficienti a dimostrare l’esistenza di una condotta idonea a condizionare le scelte dell’utente-consumatore.
Secondo il TAR, la pre-attivazione non comporta «alcuna trasmissione dei dati dalla piattaforma a quella di soggetti terzi, ma è seguita da una ulteriore serie di passaggi necessitati, in cui l’utente è chiamato a decidere se e quali dei suoi dati intende condividere al fine di consentire l’integrazione con le piattaforme». Inoltre, sempre secondo il Giudice amministrativo di primo grado, le eventuali contestazioni sulla non pertinenza o eccedenza del trattamento dei dati rispetto alle finalità rientrerebbero nell’alveo di competenza del Garante privacy.
Alla luce di quanto precede, il TAR ha concluso annullando parzialmente il provvedimento in esame con riferimento alla seconda condotta sanzionata dall’Autorità, mentre ha confermato la legittimità della restante parte.
In tale contesto, l’AGCM, nella sua adunanza del 21 gennaio 2020, ha avviato nei confronti di Facebook un procedimento per asserita inottemperanza. L’Autorità contesta, in particolare, il permanere dell’ingannevolezza della condotta, in quanto la rimozione del claim di gratuità del servizio, sostituito con “è veloce e semplice”, non risulterebbe idonea a rimuovere i profili di illegittimità accertati. L’utente, infatti, secondo l’Autorità, continua a non essere adeguatamente informato sulle finalità commerciali della raccolta e utilizzo dei suoi dati. Inoltre, l’AGCM contesta l’omessa pubblicazione da parte di Facebook della dichiarazione rettificativa.
I. Sull’erronea applicazione del concetto di Parental Liability. Difetto assoluto di legittimazione passiva per violazione del principio di responsabilità personale negli illeciti amministrativi, di cui agli artt. 2 e 3, l. 689/1981, all’art. 6 e 7 Convenzione Europea dei Diritti dell’Uomo (“CEDU”) e all’art. 27 Cost. Difetto di motivazione. Violazione del principio di legalità.
Secondo la ricorrente l’’utilizzo della “Parental Liability” in materia di pratiche commerciali non troverebbe un fondamento normativo, essendo proprio della materia “antitrust”, e si porrebbe in contrasto con alcuni fondamentali principi nazionali ed europei, quale quello del carattere personale della sanzione di cui all’articolo 2 della L. 689/1981 e artt. 6 e 7 della CEDU.
II. Sull’erronea applicazione del concetto di Parental Liability. Violazione dell’art. 6 CEDU e del principio del giusto procedimento. Violazione del principio di presunzione di innocenza. Eccesso di potere per difetto di istruttoria.
Il ricorso al concetto di “Parental Liability” si porrebbe anche in violazione del diritto di difesa di Facebook Inc. e del principio della presunzione di innocenza come sancito dall’articolo 48 della Carta dei Diritti Fondamentali dell’Unione Europea e dell’art. 6 CEDU. Parte ricorrente lamenta che nel corso del procedimento si sarebbe fatto riferimento per la prima volta a tale concetto solo nel provvedimento finale, nonostante già nel mese di aprile la parte aveva fatto presente di non essere coinvolta nella fornitura del servizio Facebook agli utenti italiani – e quindi la sua estraneità alle condotte poi sanzionate.
III. Difetto assoluto di attribuzione dell’AGCM, in quanto non si tratta di pratiche commerciali in mancanza di un corrispettivo patrimoniale e quindi della necessità di tutelare l’interesse economico dei consumatori. Violazione degli artt. 18 ss. del Codice del Consumo e della Direttiva 2005/29/CE (“Direttiva sulle pratiche commerciali sleali”).
Secondo la parte ricorrente, non sussisteva alcuna pratica commerciale e, quindi, alcuna competenza dell’Agcm. Ciò in quanto, deduce la ricorrente, il servizio di Facebook è fornito agli utenti gratuitamente, nel senso tecnico (ed oggettivo) che nessun corrispettivo patrimoniale (nemmeno indiretto) è richiesto. Richiamata la direttiva europea in materia di pratiche commerciali sleali, Facebook Inc. afferma che occorre che un consumatore acquisti e paghi (o sia indotto ad acquistare o pagare) un prodotto, perché si possa ipotizzare una pratica commerciale scorretta.
IV. Difetto assoluto di attribuzione dell’AGCM, “ratione materiae”, ossia in quanto la disciplina da applicare era unicamente quella sulla privacy (Regolamento UE 2016/679, “Regolamento privacy”). Violazione del principio di specialità, di cui all”art. 3, co. 4, della Direttiva sulle pratiche commerciali sleali. Violazione del Regolamento Privacy.
V. Violazione della riserva di regolamento UE, quale stabilita dall’art. 288, co. 2, TFUE e dalla giurisprudenza dell’Unione Europea. Violazione del considerando 13 del Regolamento UE 2016/679.
VI. Violazione del principio di specialità in materia sanzionatoria. Violazione dell’art. 9, l. 689/1981. Violazione dei principi sul concorso apparente di norme sanzionatorie.
VII. Violazione dell’art. 56 del Regolamento UE 2016/679. Difetto assoluto di attribuzione.
Ai sensi del “Regolamento privacy”, sussisterebbe la competenza esclusiva all’Autorità capofila (nella specie l’Autorità privacy irlandese, data la sede del titolare del trattamento dei dati) in qualità di unico interlocutore per quanto riguarda il trattamento transfrontaliero. Ne consegue, secondo la tesi di parte ricorrente, che nessuna Autorità italiana (anche se per ipotesi competente in materia “privacy”) avrebbe potuto esercitare diretti poteri di controllo e sanzione sulle pratiche qui in questione, dato che il trattamento dei dati non riguardava la sola Italia ma aveva carattere europeo.
VIII. Violazione del principio di legalità/prevedibilità. Violazione dell’art. 7 CEDU e dell’art. 25 Cost.. Violazione del considerando 13 del Regolamento UE 2016/679.
IX. Inesistenza di qualsivoglia condotta in violazione della disciplina sulle pratiche commerciali scorrette. Violazione del Codice del Consumo e della disciplina privacy. Inesigibilità della condotta richiesta per irrisolvibile contraddittorietà tra gli standard privacy e quelli prospettati dall’AGCM.
X. In via subordinata, violazione del principio di proporzionalità quanto all’obbligo di pubblicazione della dichiarazione rettificativa e alle misure imposte per superare la pretesa condotta illecita. Violazione degli artt. 24 e 41 Cost.
giorni, in quanto le misure richieste imporrebbero a Facebook notevoli cambiamenti sulla propria infrastruttura, i quali, anche se formalmente solo a livello italiano, si imporrebbero di fatto a livello globale, dato l’intrinseco carattere unitario di un “social media”.
Deve, inoltre, aggiungersi che anche nell’ambito della tutela del consumatore può trovare applicazione, come accaduto nella presente fattispecie, l’orientamento giurisprudenziale, secondo cui “nella materia antitrust […] in presenza di una società che detiene il 100% del capitale sociale di un’altra società, si presume che la società controllante eserciti un’influenza determinante nello svolgimento dell’attività della controllata, tale da farla ritenere responsabile per gli illeciti da quest’ultima materialmente realizzati” (Tar Lazio, sez. I, 2 novembre 2012, n. 9001).