Nel 2018, l’AGCM condannava Facebook al pagamento di due sanzioni amministrative pecuniarie, di importo pari a 5 milioni di euro ciascuna, e alla pubblicazione di una dichiarazione rettificativa a causa delle pratiche commerciali scorrette (l’una ingannevole e l’altra aggressiva) poste in essere dal social network.
Facebook presentava ricorso avverso tale decisione al TAR Lazio, che lo accoglieva soltanto in parte: il tribunale confermava l’esistenza della pratica commerciale ingannevole ma non anche di quella aggressiva. Pertanto, la sentenza veniva impugnata dinanzi al Consiglio di Stato sia da parte di Facebook affinché venisse dichiarata l’insussistenza in toto di pratiche commerciali scorrette, sia da parte dell’AGCM affinché venisse riconosciuta, in capo al social network, anche la predisposizione di una pratica commerciale aggressiva.
Preliminarmente, però, occorre chiarire cosa si intende con pratiche commerciali scorrette.
La disciplina delle pratiche commerciali scorrette è contenuta all’interno del Codice del Consumo (d. lgs. n. 206/2005) e, in particolare, agli articoli 19 e seguenti.
Ai sensi dell’art. 18 c.1 lett. d) del cod. cons., con pratica commerciale deve intendersi: “qualsiasi azione, omissione, condotta o dichiarazione, comunicazione commerciale ivi compresa la pubblicità e la commercializzazione del prodotto, posta in essere da un professionista, in relazione alla promozione, vendita o fornitura di un prodotto ai consumatori”.
L’art. 20 cod. cons. definisce, invece, la pratica commerciale scorretta quale contraria alla diligenza professionale e falsa/idonea a falsare in misura apprezzabile il comportamento economico del consumatore medio. Le pratiche commerciali scorrette possono essere classificate in ingannevoli (artt. 21, 22, 23) e aggressive (art. 24, 25, 26).
Nel caso di specie, l’Autorità, in applicazione della disciplina contenuta nel codice del consumo, contestava a Facebook, in quanto professionista, la predisposizione di entrambe le tipologie di pratiche scorrette nei confronti degli utenti, in quanto consumatori.
In particolare, la pratica ingannevole si sostanzia nel fatto che Facebook, in sede di attivazione dell’account, informi l’utente soltanto dell’apparente gratuità del servizio attraverso lo slogan “iscriviti è gratis e lo sarà per sempre”, e, al contrario, nulla dica circa la raccolta e l’utilizzo dei suoi dati personali per finalità commerciali (c.d. profilazione a fini commerciali). In ragione di ciò, l’utente, al fine di poter usufruire del social network, cederà i propri dati anche in assenza di un’adeguata informazione e, quindi, verrà indotto a prendere una decisione commerciale che altrimenti non avrebbe preso.
La pratica aggressiva, invece, è ravvisabile nel sistema di preselezione predisposto da Facebook che implica l’opt out, cioè la necessaria rinuncia da parte dell’utente ad un’opzione già selezionata. Al contrario, dovrebbe essere garantito all’utente un meccanismo di opt in, ovvero di espressa e consapevole manifestazione del consenso alla condivisione dei dati.
D’altra parte, Facebook osservava come tali comportamenti non potessero rientrare nella nozione di pratiche commerciali poiché i dati personali dell’utente devono essere considerati come res extra commercium, ovvero diritti fondamentali della persona insuscettibili di essere commercializzati. Inoltre, il social network sottolineava come l’utente potesse scegliere quali dati condividere e, anche se condivisi, cancellarli.
Il Consiglio di Stato, nella decisione n. 2631/2021, ha respinto entrambi i ricorsi (sia da parte di Facebook che dell’AGCM) confermando sostanzialmente la sentenza emessa in primo grado dal TAR Lazio.
In particolare, nel provvedimento sono stati affrontati diversi temi interessanti.
In primis, i giudici hanno affermato l’applicabilità in relazione al caso di specie non solo della disciplina a tutela dei dati personali contenuta nel GDPR (Reg. 679/2016), ma anche delle norme del Codice del Consumo poiché presentano ambiti operativi differenti e non contrastanti tra loro. Difatti, sebbene il dato personale non sia di per sé paragonabile ad un bene che può essere venduto o scambiato, si assiste ad una vera e propria “patrimonializzazione” dei dati da parte di Facebook in quanto la profilazione ha finalità economiche.
Secondariamente, il Consiglio di Stato ha valutato la sussistenza o meno delle pratiche commerciali scorrette in capo a Facebook. La pratica commerciale ingannevole è stata ravvisata nell’apparente gratuità del servizio, a cui invece, seguiva la cessione dei dati personali per finalità commerciali, all’insaputa dell’utente. Al contrario, a detta dei giudici, non è stata riscontrata la presenza di una pratica commerciale aggressiva (ex art. 24 cod. consumo) in quanto il meccanismo di preselezione non comporta il trasferimento diretto dei dati personali da Facebook a soggetti terzi dal momento che l’utente deve scegliere se e quali dati condividere su ulteriori piattaforme.
Inoltre, il consumatore ha diritto ad un’adeguata informazione e ad una corretta pubblicità (art. 2 c. 2 lett. c), c-bis) del cod. cons.) e le informazioni devono essere fornite in modo chiaro e comprensibile (art. 5 c. 3 del cod. cons.) sin dal primo contatto, intendendosi come tale la registrazione e attivazione dell’account. Il social network nonostante l’introduzione, da aprile 2018, di un banner cookie generico, non si è conformato a tale obbligo in quanto la visualizzazione è eventuale e non necessariamente ricollegata alla registrazione.
In conclusione, a seguito della contestazione da parte della società riguardante l’entità della sanzione, i giudici hanno ritenuto che il provvedimento sia rispettoso dei parametri previsti dalla legge, quali la gravità della violazione, l'opera svolta dall'agente per la eliminazione o attenuazione delle conseguenze della violazione, nonché la personalità dello stesso e le sue condizioni economiche.