Pubblicato il 18/11/2022

N. 15326/2022 REG.PROV.COLL.

N. 13870/2021 REG.RIC.

REPUBBLICA ITALIANA

IN NOME DEL POPOLO ITALIANO

Il Tribunale Amministrativo Regionale per il Lazio

(Sezione Prima)

ha pronunciato la presente

SENTENZA

sul ricorso numero di registro generale 13870 del 2021, proposto da
Google Ireland Limited, in persona del legale rappresentante pro tempore, rappresentata e difesa dagli avvocati A R C, C T e G B, con domicilio digitale come da PEC da Registri di Giustizia;

contro

Autorità Garante della Concorrenza e del Mercato, in persona del legale rappresentante pro tempore, rappresentata e difesa dall'Avvocatura Generale dello Stato, domiciliataria ex lege in Roma, via dei Portoghesi, 12;

nei confronti

Udicon A, in persona del legale rappresentante pro tempore, rappresentata e difesa dagli avvocati D P e G C, con domicilio digitale come da PEC da Registri di Giustizia;

per l'annullamento,

previa sospensione dell’efficacia,

del provvedimento n. 29890 adottato dall'AGCM in data 16 novembre 2021 ad esito dell'istruttoria PS11147 e trasmesso alla parte ricorrente a mezzo PEC in data 26 novembre 2021;

di ogni ulteriore atto presupposto, connesso e conseguente ancorché non conosciuto;

nonché, in via subordinata, per la riduzione

dell'importo della sanzione amministrativa pecuniaria irrogata.

Visti il ricorso e i relativi allegati;

Visti gli atti di costituzione in giudizio dell’Autorità garante della concorrenza e del mercato e di Udicon A;

Visti tutti gli atti della causa;

Relatore nell'udienza pubblica del giorno 12 ottobre 2022 la dott.ssa F P e uditi per le parti i difensori come specificato nel verbale;

Ritenuto e considerato in fatto e diritto quanto segue.

FATTO

Con il ricorso in epigrafe Google Ireland Limited ha impugnato il provvedimento con cui l’Autorità garante della concorrenza e del mercato, in data 16 novembre 2021, l’ha sanzionata ritenendola responsabile di una pratica commerciale ingannevole (“Pratica A”), per non aver fornito agli utenti informazioni sufficientemente chiare “in merito alla raccolta ed utilizzo dei loro dati personali a fini commerciali”, e di una pratica commerciale aggressiva (“Pratica B”), avente ad oggetto il sistema di “preimpostazione del consenso dei consumatori” al trasferimento dei loro dati a Google a scopi commerciali.

La ricorrente, titolare dell’omonimo motore di ricerca, ha dedotto che nello svolgimento della propria attività di organizzazione e selezione delle informazioni da rendere accessibili ai propri utenti offre un’ampia gamma di servizi online prevalentemente gratuiti, tra cui la piattaforma multimediale YouTube, il navigatore Google Maps, il servizio di posta elettronica Gmail e il servizio di archiviazione Google Drive.

Alcuni servizi sono accessibili liberamente da chiunque navighi online, mentre per altri è richiesta la previa creazione di un profilo utente (“account”).

Ciò che le consente di mantenere gratuiti gran parte dei servizi offerti ai consumatori sono gli annunci pubblicitari, che possono essere standardizzati, ossia mostrati a prescindere dalle caratteristiche degli utenti che li vedono, oppure personalizzati, sulla base delle precedenti attività di navigazione degli utenti cui si rivolgono;
gli annunci personalizzati incontrano con un maggior grado di probabilità l’interesse dei consumatori e hanno pertanto un maggior valore sia per questi che per gli inserzionisti. Tali annunci vengono mostrati solamente agli utenti che prestano il loro consenso, mentre gli altri utenti vedranno solamente annunci standardizzati, potenzialmente meno interessanti per loro.

La ricorrente ha dedotto che il provvedimento sanzionatorio deve ritenersi illegittimo, in primo luogo, in quanto gli utenti di Google erano chiaramente informati in merito al possibile utilizzo dei loro dati a scopi pubblicitari;
secondariamente, poiché la pratica B non poteva qualificarsi come aggressiva, giacché gli utenti sceglievano liberamente se fornire o meno i loro dati a Google per scopi commerciali, senza alcuna coercizione.

A sostegno del ricorso sono state formulate le seguenti censure:

I.incompetenza dell’Agcm: nullità per difetto assoluto di attribuzione, incompetenza, violazione e falsa applicazione degli articoli 1,18, 20, 21, 24 e 25 del Codice del consumo. Eccesso di potere sotto vari profili.

Secondo l’AGCM, la scelta degli utenti di autorizzare Google al trattamento dei loro dati per finalità pubblicitarie costituirebbe una “decisione di natura commerciale” ai sensi del Codice del consumo, con la conseguenza che qualsiasi inganno o forzatura in merito a tale scelta sarebbe inquadrabile nel novero delle pratiche commerciali scorrette;
di contro, il Codice citato qualificherebbe come commerciali solo le scelte relative all’acquisto di un prodotto, o al pagamento del prezzo necessario per ottenerlo (art. 18, lettera m).

Dal momento che i dati non rappresentavano il “prezzo”, né la “controprestazione” fornita dagli utenti per accedere ai servizi Google o per creare un account, la scelta di conferirli alla società per finalità pubblicitarie non sarebbe una “decisione di natura commerciale” rilevante ai fini dell’applicazione del Codice del consumo.

Agli utenti era consentito, infatti, pieno accesso ai servizi e all’account Google anche qualora avessero rifiutato di fornire i loro dati alla società per finalità commerciali.

Inoltre, il rapporto tra Google e gli inserzionisti esulava da quello con gli utenti e non avrebbe potuto essere preso a riferimento per sostenere che, dal punto di vista degli utenti, i dati personali avevano un “valore commerciale”.

Non vi sarebbe, pertanto, alcuna base giuridica dell’intervento dell’Agcm nel presente caso, con conseguente carenza di potere dell’Autorità.

II. Sull’assenza di pratiche ingannevoli: violazione e falsa applicazione degli articoli 20, 21 e 22 del Codice del consumo, eccesso di potere in tutte le figure sintomatiche.

La ricorrente ha sostenuto che gli utenti sarebbero adeguatamente informati in merito alla possibilità che i loro dati possano, previo eventuale e libero consenso, essere utilizzati per finalità commerciali: gli utenti che intendevano creare un account dovevano infatti leggere una breve informativa concernente il fatto che, in base alle scelte effettuate in fase di registrazione, Google avrebbe potuto trattare i loro dati di navigazione “per pubblicare annunci personalizzati”.

L’informativa circa il trattamento dei dati degli utenti a fini commerciali (previo consenso) veniva fornita in maniera chiara e trasparente anche con riferimento ai servizi Google che non richiedevano la creazione di un account (quali ad esempio, Google Maps, Google Search, e YouTube), accedendo ai quali compariva un pop-up informativo volto ad avvisare gli utenti che “Google usa i cookie e altri dati per: fornire, gestire e migliorare i nostri servizi e gli annunci” e che, previo consenso, Google “personalizzerà i contenuti e gli annunci” visualizzati.

III. Sull’assenza di pratiche aggressive: violazione e falsa applicazione degli articoli 20, 24 e 25 del Codice del consumo, eccesso di potere per carenza di istruttoria, travisamento in fatto e in diritto, erroneità dei presupposti, illogicità e irragionevolezza.

Secondo l’Agcm, la procedura di creazione dell’account Google sarebbe aggressiva ai sensi del Codice del consumo poiché basata su un meccanismo di “preselezione” del consenso degli utenti al trasferimento dei loro dati a Google per scopi commerciali;
tale meccanismo, impropriamente definito di “opt-out”, “limiterebbe fortemente la libertà di scelta” degli utenti poiché li indurrebbe a fornire il loro consenso in maniera “inconsapevole”.

Di contro, in fase di creazione dell’account e dopo aver letto l’informativa sul possibile uso dei loro dati per scopi commerciali, gli utenti potevano semplicemente deselezionare tale opzione, spuntando le caselle che consentivano di non condividere alcun dato con Google per finalità commerciali;
prima della fine del processo di registrazione, qualora gli utenti non avessero deselezionato tale opzione, appariva un pop-up che li avvisava nuovamente e senza prospettazione di alcuna conseguenza negativa che, in mancanza di una loro diversa scelta, Google avrebbe loro mostrato annunci personalizzati.

IV. Sulla quantificazione della sanzione: manifesta violazione di legge ed in particolare dell’art. 27, commi 9 e 13, Codice del consumo e dell’art. 11 della l. n. 689/81 relativamente alla decisione di comminare una sanzione afflittiva ed al suo ammontare;
eccesso di potere.

L’Autorità avrebbe illegittimamente irrogato a Google due distinte sanzioni corrispondenti al massimo edittale. La pratica accertata, infatti, non concerneva un’omissione assoluta in ordine al trattamento dei dati per scopi commerciali, essendo stato contestato che l’informativa avrebbe dovuto essere posta in delle parti più visibili del processo di registrazione e/o anteposta ad altre informazioni che Google forniva ai suoi utenti, sicché la violazione doveva ritenersi di minima gravità.

Lo stesso poteva dirsi con riferimento alla pratica B, tenuto conto che il meccanismo di accettazione mediante preselezione non poteva di per sé essere qualificato come aggressivo.

Quanto alle dimensioni del professionista, in casi analoghi erano state irrogate sanzioni di entità inferiore.

Inoltre, l’Autorità avrebbe dovuto tenere conto del fatto che Google aveva formulato due distinte proposte di impegni ed implementato spontaneamente gli stessi, pur a fronte del loro rigetto;
tali circostanze avrebbero dovuto comportare il riconoscimento di una circostanza attenuante.

Infine, l’Agcm avrebbe indebitamente ritenuto sussistenti due illeciti distinti a fronte di condotte aventi il medesimo presunto scopo illecito, che perciò stesso avrebbero dovuto essere sanzionate come un’unica pratica.

Si soni costituiti l’Autorità garante della concorrenza e del mercato e Adicon resistendo al ricorso.

All’esito della camera di consiglio del 26 gennaio 2022 l’istanza cautelare è stata accolta limitatamente alla sospensione dell’obbligo della pubblicazione dell’estratto della delibera impugnata, al fine di mantenere la res adhuc integra , ma non in relazione all’inibitoria contenuta nel provvedimento impugnato, avente ad oggetto il divieto della diffusione o continuazione delle pratiche commerciali ritenute scorrette.

Alla pubblica udienza del 12 ottobre 2022 il ricorso è stato trattenuto in decisione.

DIRITTO

Il ricorso è infondato.

Con il provvedimento impugnato l’Autorità garante della concorrenza e del mercato ha accertato la scorrettezza di due pratiche commerciali poste in essere dalla ricorrente con riferimento alla raccolta e all’utilizzo, a fini commerciali, dei dati dei propri utenti, consistenti: A) nell’adozione di un’informativa priva di immediatezza, chiarezza e completezza, in ordine all’acquisizione dei dati personali e di ricerca dell’utente per un loro utilizzo a fini commerciali, nella fase di creazione dell’account di Google e al momento dell’utilizzo di vari servizi offerti da Google;
B) nell’applicazione, al momento della creazione dell’account Google, di una procedura basata su una modalità di acquisizione del consenso all’uso dei dati degli utenti a fini commerciali in opt-out, ossia senza prevedere per il consumatore la facoltà di scelta preventiva ed espressa in merito alla cessione dei propri dati e preimpostando la possibilità di acquisizione dei dati per la società.

Con il primo motivo la ricorrente ha dedotto che la scelta degli utenti di autorizzare Google al trattamento dei dati per finalità pubblicitarie non costituirebbe una decisione di natura commerciale ai sensi del Codice del consumo, giacché i dati non rappresenterebbero la “controprestazione” fornita dagli utenti per accedere ai servizi Google o per creare un account, ben potendo gli stessi effettuare tale accesso anche rifiutando di fornire i loro dati alla società.

In merito deve rilevarsi che, come già osservato da questa Sezione nella sentenza n. 260 del 10 gennaio 2020, confermata dal Consiglio di Stato con la sentenza n. 2631 del 29 marzo 2021, “a fronte della tutela del dato personale quale espressione di un diritto della personalità dell’individuo, e come tale soggetto a specifiche e non rinunciabili forme di protezione, quali il diritto di revoca del consenso, di accesso, rettifica, oblio, sussiste pure un diverso campo di protezione del dato stesso, inteso quale possibile oggetto di una compravendita, posta in essere sia tra gli operatori del mercato che tra questi e i soggetti interessati.

Il fenomeno della “patrimonializzazione” del dato personale, tipico delle nuove economie dei mercati digitali, impone agli operatori di rispettare, nelle relative transazioni commerciali, quegli obblighi di chiarezza, completezza e non ingannevolezza delle informazioni previsti dalla legislazione a protezione del consumatore, che deve essere reso edotto dello scambio di prestazioni che è sotteso alla adesione ad un contratto per la fruizione di un servizio, quale è quello di utilizzo di un “social network”.

La possibilità di uno sfruttamento economico del dato personale nell’ambito delle “piattaforme social” e la conseguente necessità di tutelare il consumatore che le utilizzi non può neppure definirsi, come prospettato da Facebook, un concetto del tutto innovativo, frutto di una interpretazione “estensiva” di norme sanzionatorie, come tale contraria al principio di prevedibilità”.

La sentenza ha anche ricordato che già negli “Orientamenti per l’attuazione/applicazione della direttiva 2005/29/CE relativa alle pratiche commerciali sleali” del 25 maggio 2016, la Commissione Europea aveva affermato che “i dati personali, le preferenze dei consumatori e altri contenuti generati dagli utenti hanno un valore economico de facto”.

Non può quindi revocarsi in dubbio che, nel contesto dell’economia digitale, i dati personali e le informazioni riguardanti la navigazione dell’utente in internet costituiscano un’utilità patrimoniale, suscettibile di sfruttamento economico da parte del soggetto che la ottiene.

Non può condurre a diversa conclusione nemmeno la circostanza che, nella fattispecie, l’accesso ai servizi Google e la creazione dell’account Google siano consentiti anche in assenza del consenso all’utilizzo dei dati.

Ciò che rileva è, infatti, la natura patrimoniale del bene oggetto della decisione che il consumatore deve assumere, che fa sì che la stessa possa essere qualificata come decisione di natura “commerciale”, ai fini della quale risulta necessaria un’informazione quanto più chiara e completa da parte del professionista.

Il fatto che, poi, anche ove l’utente si sia determinato nel senso di non accettare la cessione sia consentito accedere ai servizi forniti, e che quindi il dato non costituisca il “corrispettivo” in senso tecnico del servizio, è un’eventualità successiva che non elimina la necessità di una corretta informazione al fine di assicurare una scelta consapevole sull’accettazione o meno dell’utilizzo a fini pubblicitari delle preferenze personali.

Come già affermato nella sentenza n. 260/2020 sopra citata, inoltre, “deve anche escludersi che l’omessa informazione dello sfruttamento ai fini commerciali dei dati dell’utenza sia una questione interamente disciplinata e sanzionata nel “Regolamento privacy”.

La non sovrapponibilità dei piani relativi alla tutela della “privacy” e alla protezione del consumatore si desume dalle considerazioni svolte dalla Corte di giustizia dell’Unione Europea, del 13 settembre 2018, nelle cause riunite C 54/17 e C 55/17, nella quale si è statuito che la disciplina consumeristica non trova applicazione “unicamente quando disposizioni estranee a quest’ultima, disciplinanti aspetti specifici delle pratiche commerciali sleali, impongono ai professionisti, senza alcun margine di manovra, obblighi incompatibili con quelli stabiliti dalla direttiva 2005/29”.

Non sussiste, nel caso di specie, alcuna incompatibilità o antinomia tra le previsioni del “Regolamento privacy” e quelle in materia di protezione del consumatore, in quanto le stesse si pongono in termini di complementarietà, imponendo, in relazione ai rispettivi fini di tutela, obblighi informativi specifici, in un caso funzionali alla protezione del dato personale, inteso quale diritto fondamentale della personalità, e nell’altro alla corretta informazione da fornire al consumatore al fine di fargli assumere una scelta economica consapevole.

9. Per le medesime ragioni, non esiste neppure il paventato rischio di un effetto plurisanzionatorio della medesima condotta (intesa come identico fatto storico) posta in essere dal professionista che gestisce il “social network”. L’oggetto di indagine da parte delle competenti autorità riguarda, infatti, condotte differenti dell’operatore, afferenti nel primo caso al corretto trattamento del dato personale ai fini dell’utilizzo della piattaforma e nel secondo caso alla chiarezza e completezza dell’informazione circa lo sfruttamento del dato ai fini commerciali”.

Dunque, in termini generali, il valore economico dei dati dell’utente impone al professionista di comunicare al consumatore che le informazioni ricavabili da tali dati saranno usate per finalità commerciali e, in assenza di adeguate informazioni, ovvero nel caso di affermazioni fuorvianti, la pratica posta in essere può essere qualificata come ingannevole.

Di conseguenza deve essere disatteso l’assunto della carenza di potere in materia dell’Autorità garante della concorrenza e del mercato.

Con il secondo motivo la ricorrente ha dedotto di avere correttamente informato gli utenti in merito alla possibilità di utilizzazione per finalità commerciali dei loro dati;
gli utenti che intendevano creare un account dovevano infatti leggere una breve informativa concernente il fatto che, in base alle scelte effettuate in fase di registrazione, Google avrebbe potuto trattare i loro dati di navigazione “per pubblicare annunci personalizzati”.

Anche tale doglianza è infondata.

Dall’esame dei messaggi forniti nella fase di creazione dell’account Google e durante l’utilizzo di vari servizi offerti da Google si evince, infatti, che, come contestato dall’Agcm, quest’ultima non forniva un’immediata ed esplicita indicazione ai consumatori in merito alla raccolta ed utilizzo dei loro dati personali a fini commerciali.

Le informazioni rese sia in sede di creazione dell’account Google, che con riferimento all’accesso ai servizi di Google che non richiedono la sottoscrizione di un account, non erano infatti di immediata evidenza, in quanto posizionate in pagine raggiungibili attraverso link di consultazione meramente eventuali, come tali non idonei ad informare adeguatamente il consumatore sulla raccolta e utilizzo a fini commerciali dei suoi dati.

In particolare, l’utente, in sede di creazione dell’account, aveva la possibilità di leggere un breve riepilogo della Privacy Policy di Google in cui veniva informato del fatto che la società avrebbe utilizzato i dati personali “ per pubblicare annunci personalizzati, in base alle impostazioni dell’Account, sia sui Servizi Google sia su siti ed app partner di Google ” e che “ a seconda delle impostazioni dell’Account, Google mostra annunci personalizzati basati sulle informazioni relative all’utilizzo della Ricerca Google e di YouTube ”.

L’utente poteva, inoltre, leggere ed accettare i Termini di Servizio e la Privacy Policy di Google, all’interno dei quali era presente una sezione in cui si indicava come: “ a seconda delle tue impostazioni, potremmo mostrarti annunci personalizzati in base ai tuoi interessi ”.

In nessuna parte di tale riepilogo, tuttavia, era in alcun modo menzionato l’utilizzo a fini commerciali e pubblicitari delle informazioni in ordine alle preferenze di navigazione.

L’unico accenno al riguardo era la possibilità di “personalizzazione” degli annunci, menzionata unitamente alle informazioni riguardanti gli altri possibili utilizzi dei dati direttamente connessi con l’erogazione dei servizi di Google, relativi alla sicurezza e alla qualità e senza alcuna particolare preminenza grafica.

Risulta quindi evidente l’assenza di un’adeguata informativa in merito all’utilizzo dei dati a fini commerciali nell’ambito della fruizione dei servizi di Google.

Non può, poi, ritenersi idoneo a sopperire a tale carenza il pop-up informativo che veniva mostrato nell’immediatezza dell’accettazione che concludeva il processo di registrazione dell’account Google.

Da un lato, infatti, questa finestra appariva solo in un momento in cui il consumatore aveva ormai assunto la decisione di creare l’account Google;
dall’altro, anche il testo del pop-up era caratterizzato da opacità informativa, non contenendo indicazioni esplicite sull’uso a fini commerciali dei dati raccolti da Google. Infine, con riferimento ai servizi di Google che non richiedono la sottoscrizione di un account (Youtube, Google maps ecc.), tale pop-up appariva quando l’utente tentava di accedere per la prima volta alla pagina relativa ad uno di tali servizi ma, anche in tal caso, non conteneva un riferimento chiaro ed inequivoco in merito all’utilizzo dei dati dell’utente per finalità di marketing, limitandosi ad indicare che “ Google usa i cookie e altri dati per fornire, gestire e migliorare i nostri servizi e gli annunci. Se accetti, personalizzeremo i contenuti e gli annunci che visualizzi in base alle tue attività sui Servizi Google ”, riproducendo così, sostanzialmente, la dizione già sopra riportata con riferimento alla “personalizzazione” degli annunci.

Nemmeno le informazioni contenute nei “Termini di servizio” di Google, a cui si accedeva tramite appositi link cliccabili dalla pagina di registrazione al motore di ricerca, risultavano idonee a colmare il gap informativo rilevato, poiché la loro consultazione era solo eventuale e, anche in questo caso, non veniva esplicitato chiaramente l’uso del dato per finalità commerciali. L’utente avrebbe potuto, dunque, creare un account Google senza una piena consapevolezza dell’utilizzazione a fini pubblicitari delle informazioni provenienti dalle proprie preferenze di navigazione.

Pertanto l’informativa fornita ai consumatori, in sede di attivazione dell’account o di primo accesso a ciascun servizio in modalità “ospite”, in merito al possibile trattamento dei dati dell’utente ai fini commerciali, deve ritenersi, come rilevato dall’Autorità, priva di immediatezza, chiarezza e completezza informativa in riferimento all’attività di raccolta e utilizzo, a fini commerciali, dei dati degli utenti, e dunque non sufficiente a fornire un quadro informativo completo e agevolmente fruibile delle condizioni di accesso ai servizi.

Con il terzo motivo la ricorrente ha contestato la qualificazione in termini di aggressività della preimpostazione, da parte di Google, del consenso alla cessione dei dati personali relativi alla navigazione in internet.

In proposito deve osservarsi che l'art. 24 del codice del consumo, nel descrivere la pratica commerciale aggressiva, pur indicando alcune possibili modalità, collega la ricorrenza dell'illecito ad una valutazione finalistica, ravvisabile ogni volta che “nella fattispecie concreta, tenuto conto di tutte le caratteristiche e circostanze del caso”, la condotta del professionista, creando un indebito condizionamento, “limita o è idonea a limitare considerevolmente la libertà di scelta o di comportamento del consumatore medio in relazione al prodotto e, pertanto, lo induce o è idonea ad indurlo ad assumere una decisione di natura commerciale che non avrebbe altrimenti preso” (