Pubblicato il 10/01/2020

N. 00261/2020 REG.PROV.COLL.

N. 15288/2018 REG.RIC.

REPUBBLICA ITALIANA

IN NOME DEL POPOLO ITALIANO

Il Tribunale Amministrativo Regionale per il Lazio

(Sezione Prima)

ha pronunciato la presente

SENTENZA

sul ricorso numero di registro generale 15288 del 2018, proposto da
Facebook Inc., in persona del legale rappresentante pro tempore, rappresentata e difesa dagli avvocati A C, L P, R P, F G e D C, con domicilio digitale come da PEC da Registri di Giustizia;

nei confronti

Altroconsumo, in persona del legale rappresentante pro tempore, rappresentato e difeso dall'avvocato M G, con domicilio digitale come da PEC da Registri di Giustizia e domicilio eletto presso il suo studio in Roma, via Angelo Brofferio, 7;
Unione Nazionale dei Consumatori e Movimento Difesa del Cittadino, non costituiti in giudizio;

per l'annullamento, previa sospensiva,

1) del provvedimento n. 27432 procedimento PS/11112 dell'Autorità Garante della Concorrenza e del Mercato deliberato nella adunanza del 29 novembre 2018 e notificato in data 7 dicembre 2018 (di seguito “Provvedimento” - allegato al presente ricorso sub Doc. 2), con cui l'AGCM ha deliberato " a) che la pratica commerciale descritta al punto II sub a) del presente provvedimento, posta in essere da Facebook Inc e Facebook Ireland Ltd costituisce, per le ragioni e nei limiti esposti in motivazione, una pratica commerciale scorretta ai sensi degli artt. 21 e 22, del Codice del Consumo, e ne vieta la continuazione;
b) che la pratica commerciale descritta al punto II sub b) del presente provvedimento, posta in essere da Facebook Inc e Facebook Ireland Ltd costituisce, per le ragioni e nei limiti esposti in motivazione, una pratica commerciale scorretta ai sensi degli artt. 24 e 25, del Codice del Consumo, e ne vieta la continuazione;
c) di irrogare alla società Facebook Inc e Facebook Ireland Ltd, in solido, una sanzione amministrativa pecuniaria di 5.000.000 € (cinquemilioni di euro) per la violazione di cui alla lettera a);
d) di irrogare alla società Facebook Inc e Facebook Ireland Ltd, in solido, una sanzione amministrativa pecuniaria di 5.000.000 € (cinquemilioni di euro) per la violazione di cui alla lettera b);
e) che il Professionista comunichi all'Autorità, entro il termine di novanta giorni dalla notifica del presente provvedimento, le iniziative assunte in ottemperanza alla diffida di cui ai punti a) e b).", nonché che " 1) che Facebook Inc e Facebook Ireland Ltd pubblichino, a loro cura e spese, una dichiarazione rettificativa ai sensi dell'articolo 27, comma 8, del Codice del Consumo, secondo le seguenti modalità: i. il testo della dichiarazione rettificativa è quello riportato in allegato al presente provvedimento;
ii. la dichiarazione rettificativa riportata in allegato al presente provvedimento dovrà essere pubblicata: - entro quarantacinque giorni dall'avvenuta notificazione dello stesso sulla homepage del sito internet aziendale per l'Italia, raggiungibile agli indirizzi https://it-it.facebook.com/ e https://m.facebook.com/, nonché sull'app Facebook, in posizione che consenta una immediata visibilità e di dimensioni pari ad un quinto della stessa;
la pubblicazione della dichiarazione rettificativa dovrà permanere per venti giorni;
- al primo accesso di ciascun utente registrato italiano sulla propria pagina personale a partire dalla mezzanotte del quarantacinquesimo giorno dall'avvenuta notificazione del provvedimento, attraverso un pop-up a schermata intera. iii. la pubblicazione dovrà ricalcare in toto impostazione, struttura e aspetto della dichiarazione rettificativa allegata;
i caratteri del testo dovranno essere del massimo corpo tipografico compatibile con lo spazio indicato al punto ii) e le modalità di scrittura, di stampa e di diffusione non dovranno essere tali da vanificare gli effetti della pubblicazione;
in particolare, nello spazio di pubblicazione della dichiarazione rettificativa - così come nelle altre pagine web del sito aziendale e nello spazio ulteriore del supporto utilizzato - non dovranno essere riportati messaggi che si pongano in contrasto con il contenuto della dichiarazione stessa o che comunque tendano ad attenuarne la portata e il significato;
2) che la pubblicazione della dichiarazione rettificativa dovrà essere preceduta dalla comunicazione all'Autorità della data in cui la stessa avrà luogo e dovrà essere seguita, entro tre giorni, dall'invio all'Autorità di una copia originale di tale pubblicazione contenente la dichiarazione rettificativa pubblicata".

2) di ogni altro atto presupposto, consequenziale e/o connesso con il Provvedimento.

Visti il ricorso e i relativi allegati;

Visti gli atti di costituzione in giudizio dell’Autorità Garante della Concorrenza e del Mercato e di Altroconsumo, con la relativa documentazione;

Vista l’ordinanza cautelare n.336/2019;

Vista l’ordinanza collegiale istruttoria n. 5527/2019;

Viste le memorie difensive;

Visti tutti gli atti della causa;

Relatore nell'udienza pubblica del giorno 18 dicembre 2019 la dott.ssa L M B e uditi per le parti i difensori come specificato nel verbale;

Ritenuto e considerato in fatto e diritto quanto segue.

FATTO

1. In data 6 aprile 2018 l’Autorità Garante della Concorrenza e del Mercato (in avanti, “Autorità” o “Agcm”) ha avviato il procedimento istruttorio PS1112 nei confronti di Facebook Inc. e Facebook Ireland Limited (la prima in seguito indicata anche come “Facebook” o “la società ricorrente”) in relazione a presunte pratiche commerciali scorrette in violazione degli articoli 20, 21, 22, 24 e 25 del decreto legislativo n. 206 del 6 settembre 2005 (cd. “Codice del Consumo”).

2. Veniva, in particolare, ipotizzata l’esistenza di due distinte pratiche commerciali aventi ad oggetto la raccolta, lo scambio con terzi e l’utilizzo, a fini commerciali, dei dati dei propri utenti consumatori, incluse le informazioni sui loro interessi on line.

3. La prima pratica, ritenuta “ingannevole” e rubricata sub a), consisteva nell’avere adottato, nella fase di prima registrazione dell’utente nella Piattaforma Facebook (sito “web” e “app”), un’informativa ritenuta da Agcm priva di immediatezza, chiarezza e completezza, in riferimento alla attività di raccolta e utilizzo, a fini commerciali, dei dati degli utenti.

4. La pratica sub b), qualificata come “aggressiva”, si concretizzava nella applicazione, in relazione agli utenti registrati sulla piattaforma, di un meccanismo che, secondo la ricostruzione dell’Autorità, comportava la trasmissione dei dati degli utenti dalla Piattaforma del social network ai siti “web/app” di terzi e viceversa, senza preventivo consenso espresso dell’interessato, per l’uso degli stessi a fini di profilazione e commerciali.

5. Al procedimento partecipavano anche talune associazioni a tutela degli interessi dei consumatori, tra cui Altroconsumo, Movimento Difesa del Cittadino e Unione Nazionale Consumatori.

6. Il procedimento si concludeva con l’impugnato provvedimento n. 27432 del 29 novembre 2018 con il quale Agcm, conformemente al parere espresso dall’Autorità per le garanzie nelle comunicazioni (“AgCom”) deliberava che: la pratica a) posta in essere da Facebook Inc. e Facebook Ireland Ltd. costituiva una pratica commerciale scorretta ai sensi degli artt. 21 e 22, del Codice del Consumo;
la pratica b) era scorretta ai sensi degli artt. 24 e 25, del Codice del Consumo. Vietava, altresì, la continuazione di entrambe le pratiche e applicava ad entrambe le società, in solido, due distinte sanzioni amministrative in relazione alle due pratiche, ciascuna pari a € 5.000.000,00. Era, inoltre, imposta la pubblicazione, a loro cura e spese, di una dichiarazione rettificativa allegata al provvedimento, ai sensi dell’articolo 27, comma 8, del Codice del Consumo, secondo le modalità riportate nel provvedimento stesso.

7. Avverso il provvedimento sanzionatorio Facebook Inc ha presentato ricorso, chiedendone l’annullamento per i seguenti motivi:

I. Sull'erronea applicazione del concetto di Parental Liability. Difetto assoluto di legittimazione passiva per violazione del principio di responsabilità personale negli illeciti amministrativi, di cui agli artt. 2 e 3, l. 689/1981, all'art. 6 e 7 Convenzione Europea dei Diritti dell'Uomo ("CEDU") e all'art. 27 Cost. Difetto di motivazione. Violazione del principio di legalità.

Secondo la ricorrente l'’utilizzo della “Parental Liability” in materia di pratiche commerciali non troverebbe un fondamento normativo, essendo proprio della materia “antitrust”, e si porrebbe in contrasto con alcuni fondamentali principi nazionali ed europei, quale quello del carattere personale della sanzione di cui all’articolo 2 della L. 689/1981 e artt. 6 e 7 della CEDU.

II. Sull'erronea applicazione del concetto di Parental Liability. Violazione dell'art. 6 CEDU e del principio del giusto procedimento. Violazione del principio di presunzione di innocenza. Eccesso di potere per difetto di istruttoria.

Il ricorso al concetto di “Parental Liability” si porrebbe anche in violazione del diritto di difesa di Facebook Inc. e del principio della presunzione di innocenza come sancito dall'articolo 48 della Carta dei Diritti Fondamentali dell'Unione Europea e dell'art. 6 CEDU. Parte ricorrente lamenta che nel corso del procedimento si sarebbe fatto riferimento per la prima volta a tale concetto solo nel provvedimento finale, nonostante già nel mese di aprile la parte aveva fatto presente di non essere coinvolta nella fornitura del servizio Facebook agli utenti italiani - e quindi la sua estraneità alle condotte poi sanzionate.

III. Difetto assoluto di attribuzione dell'AGCM, in quanto non si tratta di pratiche commerciali in mancanza di un corrispettivo patrimoniale e quindi della necessità di tutelare l'interesse economico dei consumatori. Violazione degli artt. 18 ss. del Codice del Consumo e della Direttiva 2005/29/CE (“Direttiva sulle pratiche commerciali sleali”).

Secondo la parte ricorrente, non sussisteva alcuna pratica commerciale e, quindi, alcuna competenza dell'Agcm. Ciò in quanto, deduce la ricorrente, il servizio di Facebook è fornito agli utenti gratuitamente, nel senso tecnico (ed oggettivo) che nessun corrispettivo patrimoniale (nemmeno indiretto) è richiesto. Richiamata la direttiva europea in materia di pratiche commerciali sleali, Facebook Inc. afferma che occorre che un consumatore acquisti e paghi (o sia indotto ad acquistare o pagare) un prodotto, perché si possa ipotizzare una pratica commerciale scorretta.

IV. Difetto assoluto di attribuzione dell'AGCM, “ratione materiae”, ossia in quanto la disciplina da applicare era unicamente quella sulla privacy (Regolamento UE 2016/679, "Regolamento privacy"). Violazione del principio di specialità, di cui all''art. 3, co. 4, della Direttiva sulle pratiche commerciali sleali. Violazione del Regolamento Privacy.

La pratica in questione sarebbe comunque assorbita completamente (attenendo all'uso di dati personali) nella disciplina europea sulla “privacy”, sulla base del principio di specialità di cui all'art. 3, comma 4, della Direttiva sulle pratiche commerciali sleali. La disciplina “privacy” si occuperebbe direttamente e compiutamente dei profili oggetto di controversia, anche in vista della affermazione del principio di correttezza e trasparenza nei rapporti tra professionisti e consumatori, ai sensi del “considerando” 39 del Regolamento UE 2016/679 (“Regolamento privacy”).

V. Violazione della riserva di regolamento UE, quale stabilita dall'art. 288, co. 2, TFUE e dalla giurisprudenza dell'Unione Europea. Violazione del considerando 13 del Regolamento UE 2016/679.

Il “Regolamento privacy”, in ragione della sua natura, non poteva essere messo in discussione o anche solo integrato da un atto legislativo nazionale in tema di pratiche commerciali scorrette, dovendo trovare prevalente applicazione in tutte le fattispecie di uso dei dati personali di consumatori.

VI. Violazione del principio di specialità in materia sanzionatoria. Violazione dell'art. 9, l. 689/1981. Violazione dei principi sul concorso apparente di norme sanzionatorie.

Poiché tra le sanzioni “privacy” ipoteticamente infliggibili e quelle per pratiche commerciali scorrette sussiste, secondo la prospettazione di parte ricorrente, un rapporto di specialità in favore delle prime, unicamente queste sarebbero ipotizzabili in presenza di un illecito, inteso come fatto storico della condotta, da non considerare in termini astratti o in relazione ai beni giuridici protetti dalla varie discipline sanzionatorie.

VII. Violazione dell'art. 56 del Regolamento UE 2016/679. Difetto assoluto di attribuzione.

Ai sensi del “Regolamento privacy”, sussisterebbe la competenza esclusiva all'Autorità capofila (nella specie l'Autorità privacy irlandese, data la sede del titolare del trattamento dei dati) in qualità di unico interlocutore per quanto riguarda il trattamento transfrontaliero. Ne consegue, secondo la tesi di parte ricorrente, che nessuna Autorità italiana (anche se per ipotesi competente in materia “privacy”) avrebbe potuto esercitare diretti poteri di controllo e sanzione sulle pratiche qui in questione, dato che il trattamento dei dati non riguardava la sola Italia ma aveva carattere europeo.

VIII. Violazione del principio di legalità/prevedibilità. Violazione dell'art. 7 CEDU e dell'art. 25 Cost.. Violazione del considerando 13 del Regolamento UE 2016/679.

Facebook sarebbe stata sanzionata sulla base di una disciplina (quella sulle pratiche commerciali scorrette) la cui applicazione era imprevedibile e nuova, venendo in considerazione quanto meno una interpretazione estensiva, vietata dall’art. 7 CEDU, delle sanzioni sulle pratiche commerciali al diverso tema della gestione dei dati personali e comunque a pratiche in cui non viene in questione un interesse economico diretto del consumatore.

IX. Inesistenza di qualsivoglia condotta in violazione della disciplina sulle pratiche commerciali scorrette. Violazione del Codice del Consumo e della disciplina privacy. Inesigibilità della condotta richiesta per irrisolvibile contraddittorietà tra gli standard privacy e quelli prospettati dall'AGCM.

In relazione alla condotta sub a), le contestazioni dell’Autorità sarebbero infondate in quanto i consumatori medi non sarebbero fuorviati dalla descrizione del servizio come “gratuito” e Facebook Ireland fornirebbe continuamente ai propri utenti informazioni trasparenti ed esaustive sul trattamento dei dati e su come gli stessi possano, in qualsiasi momento, gestire i propri dati e modificare le preferenze espresse in precedenza.

Quanto alla pratica sub b), il Provvedimento affermerebbe erroneamente l’esistenza di un generale inconsapevole ed automatico trasferimento dei dati degli utenti. In ogni caso, la pratica non potrebbe dirsi “aggressiva”, mancando comportamenti invasivi della libertà di scelta del consumatore. Afferma parte ricorrente che Facebook si sarebbe limitata a fornire agli utenti informazioni chiare, trasparenti e complete sulle conseguenze derivanti dalla disattivazione della Piattaforma, senza alcun condizionamento della volontà del consumatore per indurlo ad effettuare una scelta di cui non fosse convinto.

Inoltre, qualora si ritenesse che Facebook Ireland avesse posto in essere comportamenti contrari al Codice del Consumo, si tratterebbe al massimo di un’unica pratica commerciale scorretta, non aggressiva, in quanto la pratica sub b) dovrebbe ritenersi assorbita della pratica sub a).

X. In via subordinata, violazione del principio di proporzionalità quanto all'obbligo di pubblicazione della dichiarazione rettificativa e alle misure imposte per superare la pretesa condotta illecita. Violazione degli artt. 24 e 41 Cost.

In subordine all’accoglimento dei precedenti motivi, Facebook Ireland contesta anche l’obbligo di

pubblicare la dichiarazione rettificativa, nonché quello di porre fine alle presunte infrazioni in solo 90 giorni.

Quanto alla dichiarazione rettificativa, essa è considerata eccessivamente gravosa ed invasiva, in quanto incrinerebbe il rapporto di fiducia con gli utenti e le modalità di pubblicazione prescritte dall’Autorità sarebbero sproporzionate rispetto alla finalità perseguita.

Non sarebbe proporzionato nemmeno l’invito alla cessazione delle violazioni da realizzare entro 90

giorni, in quanto le misure richieste imporrebbero a Facebook notevoli cambiamenti sulla propria infrastruttura, i quali, anche se formalmente solo a livello italiano, si imporrebbero di fatto a livello globale, dato l'intrinseco carattere unitario di un “social media”.

8. L’Agcm si è costituita in giudizio, chiedendo la reiezione del ricorso siccome infondato. Si è costituita in giudizio anche Altroconsumo, insistendo nell’infondatezza del gravame.

9. Alla camera di consiglio del 16 gennaio 2019 la domanda cautelare presentata unitamente al ricorso è stata accolta limitatamente alla sospensione dell’imposizione dell’obbligo di esporre e pubblicare la dichiarazione rettificativa, in considerazione delle difficoltà tecniche prospettate dalla ricorrente, anche in ordine ai tempi necessari per la completa ottemperanza.

10. All’esito dell’udienza pubblica del 17 aprile 2019, è stata disposta istruttoria al fine di acquisire dalla parte ricorrente informazioni relative a talune modifiche sulle proprie condizioni d’uso, relative alle modalità di utilizzo dei dati dei consumatori, in procinto di essere adottate a seguito di un impegno assunto con la Commissione europea.

11. Parte ricorrente ha depositato in data 28 giugno 2019 una memoria e documenti, al fine di fornire i chiarimenti richiesti.

12. In vista della nuova trattazione della causa, le parti hanno depositato ulteriori memorie, insistendo nelle reciproche posizioni.

13. All’udienza pubblica del 18 dicembre 2019, uditi per le parti i difensori presenti e su loro conforme richiesta, la causa è stata trattenuta in decisione.

DIRITTO

1. La controversia ha ad oggetto due distinte condotte poste in essere da Facebook e sanzionate dall’Agcm in quanto ritenute, rispettivamente, ingannevoli e aggressive nei confronti dei consumatori.

2. La prima pratica riguarda la fase di registrazione dell’utente nella Piattaforma FB (sito “web” e “app”) e consiste nel rilascio di una un’informativa ritenuta poco chiara e incompleta.

Nello specifico, l’Autorità rilevava che ”Sino al 15 aprile 2018, l’utente che accedeva alla homepage di FB per registrarsi sulla Piattaforma (sito web e app), a fronte di un claim sulla gratuità del servizio offerto “Iscriviti E’ gratis e lo sarà per sempre”, non trovava un altrettanto evidente e chiaro richiamo sulla raccolta e uso a fini commerciali dei propri dati da parte di FB” (cfr. par. 18 del provvedimento). L’informazione era ritenuta non veritiera e fuorviante in quanto la raccolta e sfruttamento dei dati degli utenti a fini remunerativi si configurava come