Sono finiti i tempi dei siti poco trasparenti in ordine alla finalità del trattamento dei dati. A dire la parola fine è proprio il Consiglio di Stato che in una recente sentenza, la n. 9614 del 2 dicembre 2024, è intervenuto a tutela della privacy.
D’ora in poi, le finalità nella specie di marketing devono essere chiare fin da subito, evitando che l’utente vaghi nei meandri delle piattaforme online.
Spieghiamo meglio.
Indice degli argomenti
Apple: il Consiglio di Stato interviene a favore della privacy
La protezione dei dati non è (più) un “fatto” solo di chi, in piazza Venezia, se ne occupa da anni rappresentando, attraverso i vari Collegi che si susseguono, l’Autorità Garante per la protezione dei dati.
Così, a tutela della stessa interviene anche il Consiglio di Stato con una recente sentenza (9614/2024) la cui novità risiede proprio nel ritenere il difetto di trasparenza privacy una pratica commerciale scorretta/ingannevole.
Di qui, la portata innovativa della pronuncia in disamina.
Multa ad Apple: i fatti di causa
L’Autorità Garante della Concorrenza e del Mercato (Agcm) sanzionava Apple in relazione a due illeciti “consumeristici”, in particolare:
- mancata informativa circa la raccolta dei dati dell’utente ai fini commerciali;
- pre-flag del consenso alla raccolta dei dati personali ai medesimi fini (marketing), imponendo una complicata procedura per la revoca del consenso prestato.
In altri termini, l’utente Apple si trovava costretto a dare il suo consenso ai fini di marketing per poter utilizzare l’Apple Store.
In pratica, l’utente medesimo dovendo creare un account (ID Apple) assolutamente necessario per l’uso di tutti i device e i servizi offerti dal mondo Apple, non veniva adeguatamente informato sulle finalità del trattamento dei suoi stessi dati e si trovava (costretto) a dare il consenso per i predetti fini, per poi azionare una complicata procedura per la revoca dell’assenso prestato.
Così l’Agcm sanzionava Apple irrogandole una sanzione pari a 10milioni di euro (5milioni per ciascuna delle due violazioni).
Apple ricorreva avanti al TAR del Lazio che accoglieva il ricorso. Ma l’Agcm impugnava la sentenza (di primo grado) avanti al Consiglio di Stato il quale, ribaltandone la sorte, ha accolto in parte l’appello dell’Autorità per i motivi che seguono.
Sanzione Apple: i passaggi più salienti del Consiglio di Stato
Il Consiglio di Stato in questa pronuncia, a tratti innovativi perché invoca la tutela della privacy, sostanzialmente argomenta (nelle sue 47 pagg) affermando un paio di passaggi importanti:
- i dati hanno un valore economico;
- le informative multilivello sono complesse e il consenso deve essere agilmente revocabile.
I dati hanno un valore economico
Il Consiglio di Stato (CdS) con la pronuncia in parola riconosce la “patrimonializzazione” ovvero il “valore economico dei dati”.
Si tratta di un passaggio motivazionale importante specialmente in un contesto in cui le piattaforme digitali oggi sempre di più monetizzano i dati degli utenti attraverso la profilazione (quella che i giudici del CdS chiamano “personalizzazione”) e il marketing.
Di qui, il precipitato del Consiglio di Stato: la raccolta dei dati è una pratica commerciale che diventa scorretta se non rispetta le regole della privacy.
Infatti, il Consiglio di Stato in un passaggio della parte motiva, non si limita a dire che solo i dati personali hanno “un valore commerciale, ma anche i dati di navigazione dell’utente sulle piattaforme, utilizzati per la profilazione”.
Ecco che rientra anche l’ipotesi della creazione di un account su una piattaforma digitale gratuita.
Tale riconoscimento se da un lato fa ricadere la questione sotto la disciplina consumeristica (D.lgs. 206/2005 e s.m.i.), dall’altro accende un faro interconnesso sulla protezione dei dati, dal momento che l’utente ha diritto di avere una “corretta ed esaustiva informazione circa l’uso che potrebbe essere fatto dei dati personali e de dati di navigazione” scrivono i Giudici di Palazzo Spada.
Ne discende dunque una visione che deve essere necessariamente coordinata tra privacy e commercio riflettendosi nell’applicazione sinergica delle due discipline: Codice del Consumo e GDPR, garantendo l’uno che i consumatori non siano vittime di pratiche sleali/ingannevoli/aggressive (art. 22 Cod. Cons.), mentre l’altro la protezione dei dati personali quale diritto fondamentale.
In breve, si attua una doppia tutela.
Le informative multilivello sono complicate
Altra censura che il CdS fa è sulle informative “multilivello” troppo complicate, e tale complessità è spesso concepita per rendere difficile la user experience degli utenti, i quali di fatto non sanno come saranno trattati i propri dati.
Si tratta di un approccio, spesso comune, delle piattaforme digitali, ostacolando per l’effetto la trasparenza.
Nella pratica, tale genere di informativa prevede che l’utente clicchi su una serie di link al fine di accedere a informazioni dettagliate sul trattamento dei dati, perdendosi in un vero e proprio labirinto.
Insomma, tutto il contrario di quello che il GDPR impone (art. 13 e 14) chiedendo informative chiare, semplici e dirette.
Ma non è tutto.
Il consenso deve essere agilmente revocabile
L’informativa, come noto, va a braccetto con il consenso. Qui va ribadito che con la stessa facilità con cui il consenso viene raccolto, allo stesso modo deve poter essere revocato.
E nel caso di specie (Apple) non si può proprio dire che lo sia stato.
Il pre-fleg del consenso da parte dell’utente a ricevere comunicazioni di marketing (salvo successiva opposizione) tuttavia, per i giudici di Palazzo Spada non costituisce “una condotta commerciale aggressiva”, non ritenendolo “oppressivo e neppure manipolatorio della volontà, anche quando per la revoca del consenso l’utente è costretto a seguire un iter complesso” (artt. 25 e 26 Cod. Cons).
Ma è violazione della privacy (art. 7 GDPR), anche se non trattato dal CdS esulando dalla materia controversa.
Ciò, tuttavia, rileva ancora una volta a dimostrazione del fatto che la protezione dei dati merita una tutela trasversale e a tutto campo.
Sanzione Apple: una lezione per le piattaforme digitali
La vicenda in questione rappresenta dunque un caso emblematico di come i colossi del web gestiscano, tra gli altri, il trattamento dei dati personali.
A questo punto il messaggio suona forte e chiaro: trasparenza e rispetto dei diritti degli utenti diventano imperativi categorici per le piattaforme digitali.
Ecco, dunque, che la commentata sentenza segna un punto di svolta nella regolamentazione del trattamento dei dati personali e nella tutela dei diritti degli utenti, determinando implicazioni ben oltre il caso di specie, ponendo altresì le basi per una complessiva revisione delle pratiche commerciali tout court che vengono adottate dai colossi del web.
