Google Ireland Limited è stata sanzionata dall’Autorità Garante della Concorrenza e del Mercato (AGCM) per pratiche commerciali scorrette, ex artt. 21 e 22 Codice del consumo, e pratiche commerciale aggressive, ex artt. 24 e 25 Codice del consumo, aventi a oggetto la raccolta e l’utilizzo, a fini commerciali, dei dati personali dei consumatori/utenti.
In particolare, l’Autorità Antitrust ha contestato alla Società due distinte condotte, entrambe violative della disciplina consumeristica. Nella fase di creazione dell’ID Google, indispensabile per l’utilizzo di tutti i servizi offerti dalla Società, e in fase di accesso ad altri servizi, Google aveva asseritamente adottato un’informativa priva di chiarezza e completezza, in riferimento alla propria attività di acquisizione di dati personali per un loro utilizzo a fini commerciali; una volta che l’utente/consumatore creava l’account Google, la Società applicava una procedura preimpostata di acquisizione del consenso all’uso dei dati degli utenti a fini commerciali in opt-out, ossia senza prevedere per il consumatore la facoltà di scelta preventiva ed espressa in merito alla cessione dei dati stessi.
Il Consiglio di Stato ha parzialmente accolto l’appello di Google, annullando la sanzione relativa alla pratica commerciale aggressiva – stabilendo che la preselezione del consenso non costituisse una siffatta pratica, non avendo concretamente limitato la libertà di scelta del consumatore – ma confermando quella per la pratica ingannevole ritenuta nei fatti sussistente a causa della mancanza di trasparenza nell’informativa sul trattamento dei dati.
La rilevanza giuridica della sentenza si rinviene nell’aver chiarito che la normativa sulla privacy il cui rispetto è demandato alle cure del Garante per la protezione dei dati personali non esclude l’applicazione delle norme consumeristiche sulle pratiche commerciali scorrette la cui competenza spetta all’Autorità Antitrust. Di conseguenza, la competenza dell’AGCM può coesistere con quella del Garante della privacy essendo quest’ultima posta a tutela dei diritti della personalità e non a tutela della libertà del consumatore, leitmotiv della disciplina consumeristica.
Introduzione
Lo scopo del presente elaborato è quello di evidenziare la competenza dell’AGCM a sanzionare le pratiche scorrette e aggressive anche nei settori regolamentati dalla normativa di settore e rimessi alla competenza del Garante della privacy.
Ebbene, nel primo capitolo verranno esaminati i fatti di causa che hanno condotto l’AGCM a irrogare a Google Ireland Ltd. due distinte sanzioni amministrative pecuniarie di € 5.000.000 per aver asseritamente posto in essere pratiche commerciali scorrette, ai sensi degli artt. 21 e 22 Codice del consumo, e pratiche commerciali aggressive, ai sensi degli artt. 24 e 25 del Codice del consumo. In particolare, il procedimento avviato dall’Autorità Antitrust riguardava due distinte pratiche: nella fase di creazione dell’ID Google, indispensabile per l’utilizzo di tutti i servizi offerti dalla Società, e in fase di accesso ad altri servizi, la Società aveva asseritamente adottato un’informativa priva di chiarezza e completezza, in riferimento alla propria attività di acquisizione di dati personali per un loro utilizzo a fini commerciali; una volta che l’utente/consumatore creava l’account Google, la Società applicava una procedura preimpostata di acquisizione del consenso all’uso dei dati degli utenti a fini commerciali in opt-out, ossia senza prevedere per il consumatore la facoltà di scelta preventiva ed espressa in merito alla cessione dei dati stessi. In primo grado, il TA.R. per il Lazio respingeva il ricorso di Google ritenendo che la ricorrente non avesse fornito informazioni chiare sulla raccolta e l’uso dei dati personali degli utenti a fini commerciali e che avesse utilizzato un sistema di consenso effettivamente preimpostato così dando vita a una pratica commerciale scorretta e aggressiva.
Nel secondo capitolo della trattazione, verrà esaminato il percorso argomentativo seguito dal Consiglio di Stato che confermerà la competenza dell’AGCM a irrogare sanzioni pecuniarie nei confronti della Società che addotti pratiche scorrette o aggressive anche nei settori regolamentati dalla normativa settore. Il giudice di secondo grado aderirà alle conclusioni della giurisprudenza sovranazionale secondo la quale, al criterio della specialità, che vedeva prevalere la competenza dell’Autorità settoriale, doveva preferirsi il criterio dell’incompatibilità, che considerava possibile l’intervento dell’Autorità di settore solo qualora la condotta contestata avesse “ambiti specifici”, nel senso che non rientrasse nel potere di intervento dell’Antitrust. L’oggetto dell’accertamento compiuto dall’AGCM non riguardava, infatti, la correttezza del trattamento dei dati personali (campo di intervento del Garante della privacy), ma le modalità di informazione sullo sfruttamento di tali dati a fini commerciali nell’ambito di un rapporto di consumo. In altri termini, ciò che l’Autorità Antitrust contestava non era la violazione di un diritto della personalità legato al trattamento dei dati personali, la cui competenza sarebbe certamente spettata al Garante della privacy, ma l’opacità e l’incompletezza informativa sullo sfruttamento dei dati stessi a fini commerciali.
Il Consiglio di Stato rigetterà le doglianze di Google, confermando l’esistenza di pratiche commerciali scorrette, ma accoglierà parzialmente il ricorso con riferimento all’inesistenza di pratiche commerciali aggressive: la carenza informativa sugli effetti della preselezione rileverà sotto il profilo della ingannevolezza e, quindi, sulla consapevolezza, ma non in termini di aggressività, vale a dire sulla libertà di scelta del consumatore/utente. Infine, la quantificazione della sanzione, per un importo di € 5.000.000,00, verrà giudica ragionevole data la dimensione e la rilevanza economica della Società.
Capitolo I
Pratiche commerciali aggressive e disciplina consumeristica: quale tutela per i consumatori?
I fatti di causa in primo grado
Il caso sottoposto all’attenzione del Consiglio di Stato prende le mosse dal provvedimento deliberato dall’AGCM nei confronti di Google Ireland Ltd. per aver asseritamente posto in essere una pratica commerciale scorretta, ai sensi degli artt. 21 e 22 Codice del consumo, e una pratica commerciale aggressive, ai sensi degli artt. 24 e 25 Codice del consumo, avente a oggetto la raccolta e l’utilizzo, a fini commerciali, dei dati personali dei consumatori/utenti.
In particolare, il procedimento avviato dall’Autorità Antitrust riguardava due distinte pratiche poste in essere da Google:
nella fase di creazione dell’ID Google, indispensabile per l’utilizzo di tutti i servizi offerti dalla Società, e in fase di accesso ad altri servizi, la Società aveva asseritamente adottato un’informativa priva di chiarezza e completezza, in riferimento alla propria attività di acquisizione di dati personali per un loro utilizzo a fini commerciali;
una volta che l’utente/consumatore creava l’account Google, la Società applicava una procedura preimpostata di acquisizione del consenso all’uso dei dati degli utenti a fini commerciali in opt-out, ossia senza prevedere per il consumatore la facoltà di scelta preventiva ed espressa in merito alla cessione dei dati stessi.
Pertanto, l’Autorità Antitrust irrogava due distinte sanzioni amministrative pecuniarie di 5.000.000 € ciascuna, intimando, altresì, entro il termine di 90 giorni dalla notifica del provvedimento, di assumere le ideone iniziative per ottemperare alla diffida.
Google si determinava, quindi, a impugnare tale provvedimento dinanzi al TA.R. per il Lazio[1] che, tuttavia, respingeva il ricorso ritenendo che la ricorrente non avesse fornito informazioni chiare sulla raccolta e l’uso dei dati personali degli utenti a fini commerciali e che avesse utilizzato un sistema di consenso effettivamente preimpostato così dando vita a una pratica commerciale scorretta. La mancanza di un’informazione chiara e completa agli utenti aveva finito per limitare la loro libertà di scelta esercitando, dunque, un indebito condizionamento così realizzando una pratica commerciale aggressiva.
Il giudice di prime cure, nel concludere, confermava il provvedimento sanzionatorio irrogato dall’AGCM considerato proporzionato alla gravità delle violazioni alla luce della considerazione che, nel contesto dell’economia digitale, i dati personali e le informazioni riguardanti la navigazione dell’utente in internet costituivano un’utilità patrimoniale, suscettibile di sfruttamento economico da parte del soggetto che la otteneva.
Le doglianze di Google in appello
Google proponeva appello articolando il ricorso su una serie di motivi di impugnativa. In primo luogo, secondo la ricorrente vi era un difetto di competenza dell’AGCM che sarebbe intervenuta su aspetti regolati non dalla disciplina consumeristica inerente alle pratiche commerciali scorrette, ma dalla normativa sulla privacy demandati alle cure del Garante per la protezione dei dati personali. Peraltro, rispetto a questo tema, l’appellante formulava diverse questioni pregiudiziali sia nell’atto d’appello[2] che nella memoria conclusiva[3] chiedendo la rimessione della questione interpretativa alla CGUE nel caso in cui si nutrissero dubbi sulla corretta interpretazione e applicazione, al caso di specie, delle norme e dei principi giuridici relativi al riparto di competenze tra Autorità Antitrust e Garante della privacy.
Ad ogni modo, la ricorrente, per risolvere la questione sulla competenza tra Autorità Antistrust e Garante della privacy, richiamava i due criteri di risoluzione enunciati, rispettivamente, dal Consiglio di Stato[4] che, nella sentenza Facebook, concludeva per la complementarietà, e dalla CGUE[5] che, nella c.d. sentenza Carte TIM, concludeva per l’incompatibilità. In buona sostanza, applicando la sentenza Carte SIM la competenza poteva essere alternativamente, del Garante o dell’AGCM, mentre, applicando il criterio della sentenza Facebook, le due Autorità sarebbero state sempre entrambe competenti.
Ad avviso di Google, tuttavia, il giudice europeo non si era effettivamente pronunciato sul rapporto tra normativa privacy e normativa sulle pratiche commerciali scorrette, poiché la sentenza Carte SIM riguardava normative settoriali – nel caso di specie quella delle comunicazioni elettroniche – e non una normativa di carattere generale, applicabile trasversalmente a tutti i settori, quale poteva essere la normativa privacy. Dunque, applicando il criterio di incompatibilità, l’insussistenza di un contrasto antinomico tra normativa sulle pratiche commerciali scorrette e normativa privacy comportava la prevalenza della prima, con la conseguenza che la seconda non si sarebbe potuta mai applicare a tutte le condotte che, come quella oggetto del giudizio, risultavano soggette a entrambi i plessi normativi. Tuttavia, invocando, come avrebbe fatto il giudice di prime cure, allo stesso tempo sia il criterio di complementarietà che quello di incompatibilità si giungeva a conclusioni contraddittorie che avrebbero dato la stura a duplicazioni di interventi sanzionatori a carico delle imprese.
Pertanto, per evitare di giungere a tali opposti approdi, entrambi inammissibili – il criterio di incompatibilità faceva prevalere sempre e comunque la normativa sulle pratiche commerciali scorrette, con conseguente disapplicazione della normativa privacy, mentre il criterio di complementarietà comportava la parallela applicazione dei due plessi normativi – occorreva individuare un ulteriore criterio di risoluzione del rapporto tra norme.
Quindi, nel caso in cui specifiche condotte, come quella controversa, fossero sussumibili sia sotto la normativa privacy che sotto quella sulle pratiche commerciali scorrette, ma fossero anche interamente e compiutamente regolamentate dalla prima – con l’effetto di tutelare la libertà di determinazione degli individui rispetto all’utilizzo dei dati personali – doveva ritenersi prevalente la normativa privacy su quella delle pratiche commerciali scorrette, con conseguente incompetenza dell’AGCM.
Ed ancora, secondo Google, era necessario interpretare e applicare correttamente l’art. 3 della Direttiva 2005/29/CE (recepita in Italia con l’art. 19 Codice del consumo) in relazione al rapporto tra normativa a tutela del consumatore e normativa privacy. Una situazione di vero e proprio “contrasto” doveva ritenersi esistente tutte le volte in cui uno stesso atto o fatto fosse astrattamente sussumibile nell’ambito di applicazione della normativa sulle pratiche commerciali scorrette e, al contempo, soggetto anche alla normativa privacy che, nel disciplinare interamente tutti i profili, assorbivano anche la tutela delle scelte economiche dei consumatori. In definitiva, nel caso di condotte di prestazione del consenso al trattamento dei dati personali per finalità commerciali, come nel caso di specie, la tutela delle scelte economiche del consumatore doveva ritenersi interamente assorbita dalla normativa privacy, evitando così una duplicativa protezione derivante dall’applicazione della normativa consumeristica con conseguente incompetenza dell’AGCM.
Infine, non poteva ritenersi sussistente la competenza dell’Autorità Antitrust in ordine alla scelta degli utenti di acconsentire al trattamento dei loro dati personali per finalità pubblicitarie poiché tale condotta non costituiva una “decisione di natura commerciale” ai sensi del Codice del consumo, atteso che i dati non rappresentavano né il prezzo né la controprestazione fornita dagli utenti per accedere ai Servizi o per creare un Account.
Ed ancora, Google riteneva di non aver messo in campo pratiche ingannevoli come sostenuto dall’AGCM la quale riteneva, invece, che la Società non avesse informato adeguatamente i consumatori in merito alla possibilità che i loro dati potessero essere utilizzati per mostrare annunci personalizzati. La ricostruzione effettuata dall’Autorità Antitrust e confermata anche dal giudice di prime cure, sarebbe dunque stata errata anche perché avrebbe ignorato il parametro fondamentale per verificare l’ingannevolezza di una pratica commerciale, ossia quello del consumatore medio.
Nel citare la Direttiva 2005/29/CE, Google precisava che, in base agli insegnamenti sovranazionali, al fine di determinare se una pratica commerciale potesse considerarsi ingannevole, occorreva verificare se la stessa fosse idonea ad alterare il comportamento del c.d. consumatore medio, ossia di un soggetto “normalmente informato e ragionevolmente attento ed avveduto[6]”
Inoltre, secondo la Società ricorrente non vi erano state pratiche commerciali aggressive, così come sostenuto dall’AGCM secondo la quale Google, in sede di creazione dell’Account, aveva asseritamente previsto un meccanismo di preselezione del consenso degli utenti a ricevere annunci personalizzati che condizionava la loro libertà di scelta. Secondo la ricorrente, infatti, prima di concludere il processo di creazione dell’Account e, pertanto, prima ancora di raccogliere i dati di navigazione degli iscritti, Google chiedeva ripetutamente agli utenti se fossero effettivamente interessati a ricevere annunci personalizzati. Dunque, la mera “preimpostazione” del consenso dei consumatori al trasferimento dei loro dati a Google per ricevere annunci personalizzati non sarebbe stata in ogni caso sufficiente a integrare gli estremi di una pratica commerciale aggressiva.
L’eventuale carenza informativa sugli effetti della preselezione avrebbe rilevato, semmai, sotto il profilo dell’ingannevolezza e non già dell’aggressività della pratica commerciale. Tale convincimento trovava supporto sia negli artt. 20-25 Codice del Consumo che negli artt. 5-9 della Direttiva 2005/29/CE: le normative, infatti, distinguevano nettamente le pratiche commerciali ingannevoli da quelle aggressive prevedendo che le prime avessero a oggetto condotte idonee a “ingannare il consumatore medio”, ossia a confonderlo sull’effettiva convenienza di un affare; mentre le seconde incidevano sulla “libertà di scelta” del consumatore il quale, pur percependo che l’affare che stava concludendo non era conveniente, si sentiva comunque “forzato” a concluderlo.
Infine, Google eccepiva l’errata quantificazione della sanzione irrogata dall’AGCM poiché la condotta in effetti, integrava un’unica pratica commerciale – sostanziatasi in una modalità di acquisizione del consenso dei consumatori, interessando i medesimi prodotti, afferendo a un’unica scelta di natura commerciale del consumatore (appunto, la prestazione del consenso al trattamento dei dati personali per finalità commerciali) nonché riguardando la medesima fase rispetto alla promozione e collocazione dei Servizi – e non due distinte condotte, come sostenuto dall’Autorità che aveva per questo irrogato due autonome sanzioni pecuniarie. Il cumulo materiale di sanzioni sarebbe infatti stato possibile solo in presenza di una pluralità di condotte dotate di autonomia strutturale e funzionale.
Le due sanzioni irrogate, ciascuna pari al massimo edittale, dunque, per un ammontare totale di € 10.000.000, il doppio del massimo edittale consentito, a fronte di una condotta manifestamente unitaria, sarebbero state del tutto sproporzionate.
Capitolo II
La competenza dell’AGCM in caso di pratiche commerciali scorrette
Il rapporto tra normativa consumeristica e normativa privacy: quale criterio di risoluzione sulla competenza?
Per risolvere la questione sull’asserita incompetenza dell’Autorità Antitrust, il Consiglio di Stato riteneva necessario esaminare il tema dell’actio finium regundorum tra l’AGCM e l’Autorità Garante della privacy in materia di pratiche commerciali scorrette. Il giudice di secondo grado, sul punto, decideva di aderire alle conclusioni della giurisprudenza europea e nazionale[7] secondo le quali, al criterio della specialità, che vedeva prevalere la competenza dell’Autorità settoriale, doveva preferirsi il criterio dell’incompatibilità, che considerava possibile l’intervento dell’Autorità di settore solo qualora la condotta contestata avesse “ambiti specifici”, nel senso che non rientrasse nel potere di intervento dell’Antitrust[8].
Tali principi di diritto, dunque, dovevano considerarsi applicabili anche alla fattispecie esaminata dal giudice di secondo grado[9], sebbene l’appellante avesse condivisibilmente sostenuto che la disciplina della privacy costituisse una normativa di carattere generale, applicabile trasversalmente a tutti i settori. Tale considerazione, infatti, atteneva alla correttezza del trattamento dei dati personali, che investiva orizzontalmente ogni settore della vita sociale, al fine di garantire la tutela dei connessi diritti della personalità, ma non investiva la trasparenza delle informazioni circa lo sfruttamento di tali dati ai fini commerciali nell’ambito di un rapporto consumeristico: in altri termini, la normativa sulla privacy era posta a tutela dei diritti della personalità, non a tutela della libertà del consumatore.
Ed ancora, le condotte oggetto di intervento dell’Autorità Antitrust si inserivano nell’ambito di un rapporto di consumo e, quindi, costituivano decisioni di natura commerciale. L’oggetto dell’accertamento compiuto dall’AGCM non riguardava la correttezza del trattamento dei dati personali (campo di intervento del Garante della privacy), ma le modalità di informazione sullo sfruttamento di tali dati a fini commerciali nell’ambito di un rapporto di consumo. In altri termini, ciò che l’Autorità Antitrust contestava non era la violazione di un diritto della personalità legato al trattamento dei dati personali, ma l’opacità e l’incompletezza informativa sullo sfruttamento dei dati stessi a fini commerciali; tale trattamento, dunque, ineriva a un rapporto di consumo in presenza del fenomeno c.d. della patrimonializzazione del dato personale, tipico delle nuove economie dei mercati digitali. Lo sfruttamento dei dati personali, infatti, si configurava come una controprestazione del servizio offerto dal professionista, in quanto dotato di valore commerciale, il quale raccoglieva i dati personali degli utenti e li usava a fini di profilazione per terzi con vendita di spazi pubblicitari.
In buona sostanza, secondo l’AGCM i consumatori accedevano ai servizi offerti da Google il quale, a sua volta, cedeva i dati personali oggetto di profilazione dietro corrispettivo e le imprese pubblicizzavano a pagamento i loro prodotti. I ricavi provenienti dai servizi pubblicitari, che derivavano dall’attività di profilazione, costituivano la fonte principale del fatturato di Google. Lo scopo principale della profilazione, infatti, era proprio quello di raccogliere dati personali e trasformarli in informazioni da utilizzare per la costruzione di pubblicità e sponsorizzazioni calibrate sugli interessi dell’utente, con lo scopo di far acquistare un determinato prodotto o servizio.
Con riferimento al tema del riparto di competenze tra Autorità Antitrust e Autorità Garante della privacy, Google formulava nell’atto di appello[10] diverse questioni pregiudiziali, con richiesta di rimessione alla Corte di Giustizia dell’Unione Europea. Tuttavia, il Consiglio di Stato non accoglieva la richiesta ritenendo che Google non avesse sollevato nessuna reale ed effettiva questione pregiudiziale poiché in effetti non vi era un dubbio interpretativo in merito alle norme applicabili, mentre quanto proposto sembrava piuttosto risolversi nel tentativo di richiedere alla Corte di Giustizia di valutare i fatti concreti, compito riservato al giudice nazionale in via esclusiva sulla base della valutazione dei fatti e delle emergenze istruttorie.
In merito alla questione pregiudiziale sempre riferita al riparto di competenza, formulata nella memoria conclusiva[11], il Consiglio di Stato, pur ritenendola rilevante ai fini della decisione della controversia – e non risultando ancora specificamente affrontata dalla CGUE che, invece, in altra occasione aveva precisato il rapporto tra concorrenza e tutela dei dati personali in ordine a una fattispecie di abuso dominante – precisava di essere esonerato dall’obbligo di rimessione ai sensi dell'art. 267, comma 3, TFUE poiché il giudice europeo aveva già sancito il criterio c.d. dell’incompatibilità in luogo di quello c.d. della specialità al fine di individuare l’Autorità competente – dunque, l’Autorità Antitrust o l’Autorità di settore – in materia di pratiche commerciali scorrette.
In proposito, il giudice di secondo grado ribadiva che, se, da un lato, la normativa sulla privacy aveva un carattere trasversale, essendo relativa a ogni settore dell’ordinamento; dall’altro, la stessa era posta a tutela dei diritti della personalità, e non a tutela della libertà del consumatore, sicché, con riferimento alla materia delle pratiche commerciali scorrette, costituiva una normativa settoriale come le altre, con conseguente applicazione del criterio c.d. della incompatibilità così come sancito inequivocabilmente dal giudice europeo.
Pertanto – atteso che spettava al Garante della privacy la competenza ad applicare le sanzioni per la violazione degli obblighi ivi previsti, mentre il Codice del consumo, in materia di pratiche commerciali scorrette, aveva il compito di tutelare il consumatore da scelte economiche indotte da pratiche ingannevoli e aggressive – era evidente come il diritto alla privacy e il Codice del consumo avessero campi di applicazione differenti e perseguissero interessi distinti, integrandosi in maniera complementare. Nella fattispecie in esame, nessuna norma in materia di privacy disciplinava aspetti specifici delle pratiche commerciali sleali, imponendo ai professionisti obblighi incompatibili con quelli stabiliti dalla Direttiva 2005/29: pertanto, anche in ragione del quadro normativo chiarito dalla stessa Corte di Giustizia, l’Autorità Antitrust doveva ritenersi competente ad adottare il provvedimento impugnato.
Il rigetto della doglianza sull’inesistenza di una pratica commerciale scorretta
L’AGCM adottava il provvedimento impugnato ritenendo che il comportamento posto in essere da Google si sostanziasse in una pratica commerciale scorretta per non avere informato adeguatamente i consumatori circa la possibilità che i loro dati potessero essere utilizzati per mostrare loro annunci personalizzati, per cui la patrimonializzazione del dato personale, frutto dell’intervento della Società attraverso la messa a disposizione dei dati e la profilazione dell’utente a fini commerciali, era avvenuta senza la dovuta consapevolezza da parte dei consumatori.
Dunque, ciò che veniva sanzionato era il fatto di non aver fornito in modo chiaro informazioni rilevanti, alterando la capacità del consumatore di assumere una decisione consapevole. Secondo il convincimento dell’AGCM, confermato in secondo grado, la condotta oggetto dell’accertamento doveva farsi rientrare tra le pratiche commerciali scorrette avendo Google omesso informazioni rilevanti necessarie per il consumatore al fine di assumere una decisione consapevole di natura commerciale e cioè di accettare che il professionista raccogliesse e usasse a fini commerciali i suoi dati.
Né poteva sostenersi che l’AGCM avesse ignorato il parametro del consumatore medio perché le valutazione espresse in sede di irrogazione del provvedimento sanzionatorio dovevano considerarsi compatibili anche con riferimento agli utenti che abitualmente utilizzavano i dispositivi informatici e, quindi, erano normalmente informati sulla c.d. navigazione in rete. Infatti, la circostanza che l’utente medio che navigava online fosse consapevole del possibile utilizzo dei dati personali per finalità pubblicitarie non esimeva il professionista dall’onere di adottare un sistema informativo sulla profilazione dei dati personali chiaro, esaustivo e di immediata percezione.
L’accoglimento della doglianza sulla inesistenza di una pratica commerciale aggressiva
Mentre veniva rigettata la doglianza proposta con riferimento alla pratica commerciale scorretta, veniva invece ritenuta fondata quella circa l’inesistenza di una pratica commerciale aggressiva.
Nella fattispecie, ancorché l’Autorità avesse ritenuto sussistente un indebito condizionamento idoneo a limitare considerevolmente la libertà di scelta del consumatore medio, Google, prima di raccogliere i dati degli utenti, aveva ad essi chiesto più di una volta se fossero interessati a ricevere gli annunci personalizzati, attraverso pop-up mostrati all’inizio e al termine del processo di registrazione. In altre parole, la preselezione delle opzioni a disposizione dell’utente non solo non comportava alcuna trasmissione dei dati in modo diretto e immediato, ma era seguita da altri passaggi in cui il consumatore aveva la possibilità di deselezionare l’impostazione che prevedeva la profilazione dei dati a fini commerciali.
Inoltre, secondo il giudice di secondo grado, la preimpostazione del consenso al trasferimento dei dati per ricevere annunci personalizzati non era idonea a integrare di per sé sola una pratica commerciale aggressiva – dato che, per essere qualificata come tale necessitava di un quid pluris che si traducesse in una condotta capace di coartare la libertà di scelta dell’utente.
Dunque, sebbene il metodo opt-out anziché opt-in, in assenza di ulteriori caratteristiche, potesse concorrere alla formazione di una pratica commerciale ingannevole, non poteva comunque assumere il rilievo di indebito condizionamento per qualificare la condotta come aggressiva ai sensi del Codice del consumo. In conclusione, la carenza informativa sugli effetti della preselezione rilevava sotto il profilo della ingannevolezza e, quindi, sulla consapevolezza, ma non in termini di aggressività, vale a dire sulla libertà di scelta, della pratica commerciale.
Le conclusioni del Consiglio di Stato
Secondo il Consiglio di stato, le due pratiche commerciali contestate non erano caratterizzate da un’autonomia strutturale e funzionale, in quanto, attenendo entrambe alle modalità di acquisizione del consenso dei consumatori in relazione ai medesimi prodotti, erano relative a un medesimo segmento temporale e procedurale e, inoltre, perseguivano l’identica finalità di trattamento dei dati personali per finalità commerciali. In relazione al profilo teleologico-funzionale, la condotta di Google veniva quindi considerata unitaria, poiché entrambe le fattispecie contestate erano appunto finalizzate al rilascio dei consensi per l’invio di messaggi pubblicitari standardizzati. Pertanto, il giudice concludeva dichiarando illegittima l’applicazione del cumulo materiale delle sanzioni.
In conclusione, l’appello veniva in parte accolto con riferimento alla pratica commerciale aggressiva e respinto con riferimento alla doglianza sulla inesistenza di una pratica commerciale scorretta, mentre invece la quantificazione della sanzione, per un importo di € 5.000.000,00, veniva giudica ragionevole e non inficiata dai dedotti vizi di legittimità. Del resto, secondo il Consiglio di Stato, la sanzione pecuniaria doveva avere carattere di deterrenza e, essendo previsto uno stesso range (da € 5.000,00 a € 5.000,00) per tutte le imprese, era evidente che nei confronti delle persone giuridiche di rilevantissime dimensioni economiche come l’appellante tale efficacia potesse prodursi solo se applicata la sanzione nella misura massima.
Conclusioni
La sentenza chiarisce il rapporto tra la normativa sulla privacy, il cui rispetto è demandato alle cure del Garante per la protezione dei dati personali, e quella sulle pratiche commerciali scorrette, la cui competenza spetta all’Autorità Antitrust, e stabilisce che la competenza dell’AGCM può coesistere con quella del Garante della privacy poiché diverso è il campo d’indagine. L’oggetto dell’accertamento compiuto dall’AGCM, infatti, non riguarda la correttezza del trattamento dei dati personali (campo di intervento del Garante della privacy), ma le modalità di informazione sullo sfruttamento dei dati stessi a fini commerciali nell’ambito di un rapporto di consumo.
Di conseguenza, la competenza dell’Autorità Antitrust può coesistere con quella del Garante della privacy essendo quest’ultima posta a tutela dei diritti della personalità e non a tutela della libertà del consumatore, leitmotiv della disciplina consumeristica.
Rassegna giurisprudenziale
CGUE, sez. V, 8 giugno 2017, n.54, cause riunite C-54/17 e C-55/17
CGUE, sez. II, 14 settembre 2017, n. 628 cause C-335/21, C-922/19 e C-628/17
Cons. Stato, sez. VI, 29 marzo 2021, n. 2631
Cons. Stato, sez. VI, 11 novembre 2021, n. 7535.
Cons. Stato, sez. VI, 8 agosto 2022, n. 6998
Cons. Stato, 5 aprile 2024, n. 3175
Cons. Stato, 5 giugno 2024, n. 5030
Cons. Stato, sentenze 9 luglio 2024, n. 6077
Cons. Stato, VI, 29 marzo 2021, n. 2631
T.A.R. Roma – Lazio, sez. I, 18 novembre 2022, n. 15326
[1] T.A.R. Roma – Lazio, sez. I, 18 novembre 2022, n. 15326.
[2] Due le questioni pregiudiziali sollevate nell’atto d’appello: “se, al fine di valutare la sussistenza di una pratica commerciale ingannevole ai sensi della disciplina nazionale di recepimento degli articoli 5, 6 e 7 Direttiva 2005/29/CE, l'autorità preposta debba tenere conto degli studi prodotti dall'impresa indagata al fine di dimostrare l'inidoneità della sua comunicazione ad ingannare il consumatore medio o possa semplicemente disinteressarsene”; “se la preselezione del consenso dei consumatori, liberamente modificabile da questi ultimi senza alcuna conseguenza o prospettazione di conseguenza negativa, ma accompagnata da un'informativa poco chiara in merito alle implicazioni della preselezione, debba essere classificata come una pratica commerciale aggressiva idonea a condizionare la libertà di scelta dei consumatori o debba invece essere inquadrata nel novero delle pratiche commerciali ingannevoli, ossia idonee ad ingannare il consumatore medio”.
[3] Due le questioni pregiudiziali sollevate nella memoria conclusiva: “Se gli articoli 4 (11), 6 (1) (a), 7 e 12 del Regolamento (UE) n. 2016/679, letti alla luce dei considerando 32 e 42, nel disciplinare i requisiti del consenso degli interessati al trattamento dei dati personali e le relative modalità di acquisizione, garantiscano la libertà di determinazione dei soggetti interessati rispetto al trattamento dei dati personali (anche) per finalità commerciali, sia nella sua dimensione di diritto fondamentale della persona, sia, laddove detto consenso sia condizione per la fruizione di un dato servizio, nella sua dimensione economica, sovrapponendosi agli articoli 5 e ss. della Direttiva 2005/29/CE e alle corrispondenti norme di trasposizione nazionale e assorbendone, in questo caso, le relative valutazioni”; “Se l'articolo 3 (4) della Direttiva 2005/29/CE e le corrispondenti norme di trasposizione nazionale debbano essere interpretati nel senso che, in presenza di condotte relative all'acquisizione dei consensi degli interessati al trattamento dei 9 dati personali, interamente regolate dalla normativa in materia di protezione dei dati personali e in particolare dagli articoli 4(11), 6(1)(a), 7 e 12 del Regolamento (UE) n. 2016/679, l'applicazione di queste ultime assorba quella delle norme di cui alla Direttiva 2005/29/CE e dunque prevalga su di esse, precludendo autonomi interventi sanzionatori da parte delle autorità nazionali preposte all'applicazione della Direttiva 2005/29/CE”.
[4] Cons. Stato, sez. VI, 29 marzo 2021, n. 2631
[5] CGUE, sez. V, 8 giugno 2017, n.54, cause riunite C-54/17 e C-55/17.
[6] Cfr., CGUE, sez. II, 14 settembre 2017, n. 628 cause C-335/21, C-922/19 e C-628/17; Cons. Stato, sez. VI, 8 agosto 2022, n. 6998; Cons. Stato, sez. VI, 11 novembre 2021, n. 7535.
[7] Cons. Stato, sentenze 9 luglio 2024, n. 6077; 5 giugno 2024, n. 5030 e 5 aprile 2024, n. 3175.
[8]Cons. Stato, sentenze nn. 7296 e 4357 del 2019, a mente delle quali «In termini di riparto di competenza va ribadito il principio a mente del quale la regola generale è che, in presenza di una pratica commerciale scorretta, la competenza è dell’Autorità garante della concorrenza e del mercato. La competenza delle altre Autorità di settore è residuale e ricorre soltanto quando la disciplina di settore regoli "aspetti specifici" delle pratiche che rendono le due discipline incompatibili. […] Va ribadita la piena complementarietà e possibilità di armonizzazione tra disciplina del Codice del Consumo e regolazioni settoriali: il criterio cui fare riferimento per la soluzione dei casi in cui la condotta contestata sia soggetta a discipline concorrenti deve essere quello “di incompatibilità” e non quello “di specialità”. Il citato “criterio di incompatibilità” implica che tra le due discipline sussista una complessiva divergenza di contenuti che non ne consenta l’astratta coesistenza».
[9] Cons. Stato, VI, 29 marzo 2021, n. 2631, a mente della quale «Ferma la riconosciuta “centralità” della disciplina discendente dal GDPR e dai Codici della privacy adottati dai Paesi membri in materia di tutela di ogni strumento di sfruttamento dei dati personali, deve comunque ritenersi che allorquando il trattamento investa e coinvolga comportamenti e situazioni disciplinate da altre fonti giuridiche a tutela di altri valori e interessi (altrettanto rilevanti quanto la tutela del dato riferibile alla persona fisica), l’ordinamento - unionale prima e interno poi - non può permettere che alcuna espropriazione applicativa di altre discipline di settore, quale è quella, per il caso che qui interessa, della tutela del consumatore, riduca le tutele garantite alle persone fisiche».
[10] Cfr. nota 2.
[11] Cfr. nota 3.
