Scraping di dati personali e class action: Assonime analizza la sentenza sulla responsabilità civile privacy

Assonime, nel Caso 7/2026, analizza l’ordinanza del Tribunale di Milano del 10 aprile 2026 che ha dichiarato ammissibile l’azione rappresentativa contro Meta per il massiccio scraping di dati personali degli utenti Facebook. La responsabilità di Meta, da accertare nel merito, si fonderebbe sulla mancata adozione di misure tecniche e organizzative adeguate e sulla violazione dei principi di privacy by design e by default del GDPR, già oggetto di sanzione da parte della DPC irlandese. L’ordinanza chiarisce tre profili: la legittimazione delle associazioni senza mandato individuale; la risarcibilità del danno non patrimoniale da perdita di controllo dei dati senza soglia minima; l’omogeneità dei diritti anche in presenza di diverse tipologie di danno standardizzabili. La pronuncia evidenzia l’importanza della accountability e dei presìdi di sicurezza, segnalando l’impatto del nuovo sistema delle azioni rappresentative sulla tutela dei consumatori e sul rischio legale delle imprese.

Assonime ha pubblicato il Caso 7/2026 dal titolo “Scraping di dati personali e class action: il Tribunale di Milano apre una nuova stagione della responsabilità civile privacy”, in cui evidenzia che, con ordinanza del 10 aprile 2026 il Tribunale di Milano - Sezione specializzata in materia di Impresa, ha dichiarato ammissibile l'azione rappresentativa promossa da un'associazione di consumatori contro Meta per ottenere il risarcimento del danno che gli utenti di Facebook avrebbero subito a seguito di un massiccio scraping di dati personali ad opera di terzi.La responsabilità di Meta, che andrà accertata nella successiva fase di merito, si fonderebbe sulla mancata predisposizione di misure tecniche e organizzative adeguate a prevenire la raccolta non autorizzata di dati e, quindi, sull'inosservanza dei principi di privacy by design e by default fissati dal GDPR. Su questo profilo, peraltro, Meta è stata già sanzionata dalla Data Protection Commission irlandese.L'ordinanza, la prima in Italia ad ammettere un'azione rappresentativa a fronte di una violazione in materia di privacy, presenta principalmente tre punti di attenzione:- anzitutto chiarisce che, tenuto conto dell'obiettivo di garantire un livello elevato di tutela dei consumatori, l'associazione è legittimata all'esercizio dell'azione senza necessità di un mandato da parte dei danneggiati;- in secondo luogo, allineandosi all'orientamento della Corte di giustizia dell'UE, indica che la risarcibilità del danno non patrimoniale da perdita di controllo dei dati personali non può essere subordinata al superamento di una 'soglia di tollerabilità' della lesione;- infine, nel ravvisare l'omogeneità dei diritti fatti valere, specifica che tale requisito può ricorrere anche qualora dal medesimo fatto plurioffensivo derivino diverse voci di danno, riconducibili a sottoclassi distinte di soggetti lesi, purché i danni siano liquidabili secondo criteri che si prestano ad essere standardizzati per singola tipologia.Queste indicazioni confermano l'esigenza per le imprese, in un contesto economico sempre più fondato sui dati, di effettuare un'accurata valutazione del rischio di sicurezza collegato al trattamento di dati, definire misure di prevenzione e mitigazione proporzionate al livello di rischio e documentarne l'adozione, secondo la logica di accountability che costituisce uno dei pilastri del GDPR. Le carenze della compliance possono, infatti, comportare conseguenze molto rilevanti non solo sul piano sanzionatorio amministrativo, ma anche su quello della responsabilità civile, con spazio per l'eventuale esercizio di azioni risarcitorie collettive.La pronuncia assume rilievo perché rappresenta una delle prime decisioni della giurisprudenza italiana che chiarisce il rapporto tra la disciplina del GDPR e il nuovo sistema delle azioni rappresentative, delineando un quadro destinato ad incidere in modo significativo sia sulla tutela dei consumatori sia sulla gestione del rischio legale da parte delle imprese.Copyright © - Riproduzione riservata

Per accedere a tutti i contenuti senza limiti abbonati a IPSOA Quotidiano Premium 1 anno € 118,90 (€ 9,90 al mese) Acquista Primi 3 mesi € 19,90 poi € 35,90 ogni 3 mesi Acquista Sei già abbonato ? Accedi

Fonte: https://www.ipsoa.it/documents/quotidiano/2026/07/24/scraping-dati-personali-class-action-assonime-analizza-sentenza-responsabilita-civile-privacy