Pubblicato il 18/11/2022

N. 15326/2022 REG.PROV.COLL.

N. 13870/2021 REG.RIC.

REPUBBLICA ITALIANA

IN NOME DEL POPOLO ITALIANO

Il Tribunale Amministrativo Regionale per il Lazio

(Sezione Prima)

ha pronunciato la presente

SENTENZA

sul ricorso numero di registro generale 13870 del 2021, proposto da
Google Ireland Limited, in persona del legale rappresentante pro tempore, rappresentata e difesa dagli avvocati Angelo Raffaele Cassano, Claudio Tesauro e Giorgio Bitonto, con domicilio digitale come da PEC da Registri di Giustizia;

contro

Autorità Garante della Concorrenza e del Mercato, in persona del legale rappresentante pro tempore, rappresentata e difesa dall'Avvocatura Generale dello Stato, domiciliataria ex lege in Roma, via dei Portoghesi, 12;

nei confronti

IC Aps, in persona del legale rappresentante pro tempore, rappresentata e difesa dagli avvocati Donato Patera e Giuseppe Catalano, con domicilio digitale come da PEC da Registri di Giustizia;

per l'annullamento,

previa sospensione dell’efficacia,

del provvedimento n. 29890 adottato dall'AGCM in data 16 novembre 2021 ad esito dell'istruttoria PS11147 e trasmesso alla parte ricorrente a mezzo PEC in data 26 novembre 2021;

di ogni ulteriore atto presupposto, connesso e conseguente ancorché non conosciuto;

nonché, in via subordinata, per la riduzione

dell'importo della sanzione amministrativa pecuniaria irrogata.

Visti il ricorso e i relativi allegati;

Visti gli atti di costituzione in giudizio dell’Autorità garante della concorrenza e del mercato e di IC Aps;

Visti tutti gli atti della causa;

Relatore nell'udienza pubblica del giorno 12 ottobre 2022 la dott.ssa Francesca Petrucciani e uditi per le parti i difensori come specificato nel verbale;

Ritenuto e considerato in fatto e diritto quanto segue.

FATTO

Con il ricorso in epigrafe Google Ireland Limited ha impugnato il provvedimento con cui l’Autorità garante della concorrenza e del mercato, in data 16 novembre 2021, l’ha sanzionata ritenendola responsabile di una pratica commerciale ingannevole (“Pratica A”), per non aver fornito agli utenti informazioni sufficientemente chiare “in merito alla raccolta ed utilizzo dei loro dati personali a fini commerciali”, e di una pratica commerciale aggressiva (“Pratica B”), avente ad oggetto il sistema di “preimpostazione del consenso dei consumatori” al trasferimento dei loro dati a Google a scopi commerciali.

La ricorrente, titolare dell’omonimo motore di ricerca, ha dedotto che nello svolgimento della propria attività di organizzazione e selezione delle informazioni da rendere accessibili ai propri utenti offre un’ampia gamma di servizi online prevalentemente gratuiti, tra cui la piattaforma multimediale YouTube, il navigatore Google Maps, il servizio di posta elettronica Gmail e il servizio di archiviazione Google Drive.

Alcuni servizi sono accessibili liberamente da chiunque navighi online, mentre per altri è richiesta la previa creazione di un profilo utente (“account”).

Ciò che le consente di mantenere gratuiti gran parte dei servizi offerti ai consumatori sono gli annunci pubblicitari, che possono essere standardizzati, ossia mostrati a prescindere dalle caratteristiche degli utenti che li vedono, oppure personalizzati, sulla base delle precedenti attività di navigazione degli utenti cui si rivolgono; gli annunci personalizzati incontrano con un maggior grado di probabilità l’interesse dei consumatori e hanno pertanto un maggior valore sia per questi che per gli inserzionisti. Tali annunci vengono mostrati solamente agli utenti che prestano il loro consenso, mentre gli altri utenti vedranno solamente annunci standardizzati, potenzialmente meno interessanti per loro.

La ricorrente ha dedotto che il provvedimento sanzionatorio deve ritenersi illegittimo, in primo luogo, in quanto gli utenti di Google erano chiaramente informati in merito al possibile utilizzo dei loro dati a scopi pubblicitari; secondariamente, poiché la pratica B non poteva qualificarsi come aggressiva, giacché gli utenti sceglievano liberamente se fornire o meno i loro dati a Google per scopi commerciali, senza alcuna coercizione.

A sostegno del ricorso sono state formulate le seguenti censure:

I.incompetenza dell’AG: nullità per difetto assoluto di attribuzione, incompetenza, violazione e falsa applicazione degli articoli 1,18, 20, 21, 24 e 25 del Codice del consumo. Eccesso di potere sotto vari profili.

Secondo l’AGCM, la scelta degli utenti di autorizzare Google al trattamento dei loro dati per finalità pubblicitarie costituirebbe una “decisione di natura commerciale” ai sensi del Codice del consumo, con la conseguenza che qualsiasi inganno o forzatura in merito a tale scelta sarebbe inquadrabile nel novero delle pratiche commerciali scorrette; di contro, il Codice citato qualificherebbe come commerciali solo le scelte relative all’acquisto di un prodotto, o al pagamento del prezzo necessario per ottenerlo (art. 18, lettera m).

Dal momento che i dati non rappresentavano il “prezzo”, né la “controprestazione” fornita dagli utenti per accedere ai servizi Google o per creare un account, la scelta di conferirli alla società per finalità pubblicitarie non sarebbe una “decisione di natura commerciale” rilevante ai fini dell’applicazione del Codice del consumo.

Agli utenti era consentito, infatti, pieno accesso ai servizi e all’account Google anche qualora avessero rifiutato di fornire i loro dati alla società per finalità commerciali.

Inoltre, il rapporto tra Google e gli inserzionisti esulava da quello con gli utenti e non avrebbe potuto essere preso a riferimento per sostenere che, dal punto di vista degli utenti, i dati personali avevano un “valore commerciale”.

Non vi sarebbe, pertanto, alcuna base giuridica dell’intervento dell’AG nel presente caso, con conseguente carenza di potere dell’Autorità.

II. Sull’assenza di pratiche ingannevoli: violazione e falsa applicazione degli articoli 20, 21 e 22 del Codice del consumo, eccesso di potere in tutte le figure sintomatiche.

La ricorrente ha sostenuto che gli utenti sarebbero adeguatamente informati in merito alla possibilità che i loro dati possano, previo eventuale e libero consenso, essere utilizzati per finalità commerciali: gli utenti che intendevano creare un account dovevano infatti leggere una breve informativa concernente il fatto che, in base alle scelte effettuate in fase di registrazione, Google avrebbe potuto trattare i loro dati di navigazione “per pubblicare annunci personalizzati”.

L’informativa circa il trattamento dei dati degli utenti a fini commerciali (previo consenso) veniva fornita in maniera chiara e trasparente anche con riferimento ai servizi Google che non richiedevano la creazione di un account (quali ad esempio, Google Maps, Google Search, e YouTube), accedendo ai quali compariva un pop-up informativo volto ad avvisare gli utenti che “Google usa i cookie e altri dati per: fornire, gestire e migliorare i nostri servizi e gli annunci” e che, previo consenso, Google “personalizzerà i contenuti e gli annunci” visualizzati.

III. Sull’assenza di pratiche aggressive: violazione e falsa applicazione degli articoli 20, 24 e 25 del Codice del consumo, eccesso di potere per carenza di istruttoria, travisamento in fatto e in diritto, erroneità dei presupposti, illogicità e irragionevolezza.

Secondo l’AG, la procedura di creazione dell’account Google sarebbe aggressiva ai sensi del Codice del consumo poiché basata su un meccanismo di “preselezione” del consenso degli utenti al trasferimento dei loro dati a Google per scopi commerciali; tale meccanismo, impropriamente definito di “opt-out”, “limiterebbe fortemente la libertà di scelta” degli utenti poiché li indurrebbe a fornire il loro consenso in maniera “inconsapevole”.

Di contro, in fase di creazione dell’account e dopo aver letto l’informativa sul possibile uso dei loro dati per scopi commerciali, gli utenti potevano semplicemente deselezionare tale opzione, spuntando le caselle che consentivano di non condividere alcun dato con Google per finalità commerciali; prima della fine del processo di registrazione, qualora gli utenti non avessero deselezionato tale opzione, appariva un pop-up che li avvisava nuovamente e senza prospettazione di alcuna conseguenza negativa che, in mancanza di una loro diversa scelta, Google avrebbe loro mostrato annunci personalizzati.

IV. Sulla quantificazione della sanzione: manifesta violazione di legge ed in particolare dell’art. 27, commi 9 e 13, Codice del consumo e dell’art. 11 della l. n. 689/81 relativamente alla decisione di comminare una sanzione afflittiva ed al suo ammontare; eccesso di potere.

L’Autorità avrebbe illegittimamente irrogato a Google due distinte sanzioni corrispondenti al massimo edittale. La pratica accertata, infatti, non concerneva un’omissione assoluta in ordine al trattamento dei dati per scopi commerciali, essendo stato contestato che l’informativa avrebbe dovuto essere posta in delle parti più visibili del processo di registrazione e/o anteposta ad altre informazioni che Google forniva ai suoi utenti, sicché la violazione doveva ritenersi di minima gravità.

Lo stesso poteva dirsi con riferimento alla pratica B, tenuto conto che il meccanismo di accettazione mediante preselezione non poteva di per sé essere qualificato come aggressivo.

Quanto alle dimensioni del professionista, in casi analoghi erano state irrogate sanzioni di entità inferiore.

Inoltre, l’Autorità avrebbe dovuto tenere conto del fatto che Google aveva formulato due distinte proposte di impegni ed implementato spontaneamente gli stessi, pur a fronte del loro rigetto; tali circostanze avrebbero dovuto comportare il riconoscimento di una circostanza attenuante.

Infine, l’AG avrebbe indebitamente ritenuto sussistenti due illeciti distinti a fronte di condotte aventi il medesimo presunto scopo illecito, che perciò stesso avrebbero dovuto essere sanzionate come un’unica pratica.

Si soni costituiti l’Autorità garante della concorrenza e del mercato e ON resistendo al ricorso.

All’esito della camera di consiglio del 26 gennaio 2022 l’istanza cautelare è stata accolta limitatamente alla sospensione dell’obbligo della pubblicazione dell’estratto della delibera impugnata, al fine di mantenere la res adhuc integra , ma non in relazione all’inibitoria contenuta nel provvedimento impugnato, avente ad oggetto il divieto della diffusione o continuazione delle pratiche commerciali ritenute scorrette.

Alla pubblica udienza del 12 ottobre 2022 il ricorso è stato trattenuto in decisione.

DIRITTO

Il ricorso è infondato.

Con il provvedimento impugnato l’Autorità garante della concorrenza e del mercato ha accertato la scorrettezza di due pratiche commerciali poste in essere dalla ricorrente con riferimento alla raccolta e all’utilizzo, a fini commerciali, dei dati dei propri utenti, consistenti: A) nell’adozione di un’informativa priva di immediatezza, chiarezza e completezza, in ordine all’acquisizione dei dati personali e di ricerca dell’utente per un loro utilizzo a fini commerciali, nella fase di creazione dell’account di Google e al momento dell’utilizzo di vari servizi offerti da Google; B) nell’applicazione, al momento della creazione dell’account Google, di una procedura basata su una modalità di acquisizione del consenso all’uso dei dati degli utenti a fini commerciali in opt-out, ossia senza prevedere per il consumatore la facoltà di scelta preventiva ed espressa in merito alla cessione dei propri dati e preimpostando la possibilità di acquisizione dei dati per la società.

Con il primo motivo la ricorrente ha dedotto che la scelta degli utenti di autorizzare Google al trattamento dei dati per finalità pubblicitarie non costituirebbe una decisione di natura commerciale ai sensi del Codice del consumo, giacché i dati non rappresenterebbero la “controprestazione” fornita dagli utenti per accedere ai servizi Google o per creare un account, ben potendo gli stessi effettuare tale accesso anche rifiutando di fornire i loro dati alla società.

In merito deve rilevarsi che, come già osservato da questa Sezione nella sentenza n. 260 del 10 gennaio 2020, confermata dal Consiglio di Stato con la sentenza n. 2631 del 29 marzo 2021, “a fronte della tutela del dato personale quale espressione di un diritto della personalità dell’individuo, e come tale soggetto a specifiche e non rinunciabili forme di protezione, quali il diritto di revoca del consenso, di accesso, rettifica, oblio, sussiste pure un diverso campo di protezione del dato stesso, inteso quale possibile oggetto di una compravendita, posta in essere sia tra gli operatori del mercato che tra questi e i soggetti interessati.

Il fenomeno della “patrimonializzazione” del dato personale, tipico delle nuove economie dei mercati digitali, impone agli operatori di rispettare, nelle relative transazioni commerciali, quegli obblighi di chiarezza, completezza e non ingannevolezza delle informazioni previsti dalla legislazione a protezione del consumatore, che deve essere reso edotto dello scambio di prestazioni che è sotteso alla adesione ad un contratto per la fruizione di un servizio, quale è quello di utilizzo di un “social network”.

La possibilità di uno sfruttamento economico del dato personale nell’ambito delle “piattaforme social” e la conseguente necessità di tutelare il consumatore che le utilizzi non può neppure definirsi, come prospettato da Facebook, un concetto del tutto innovativo, frutto di una interpretazione “estensiva” di norme sanzionatorie, come tale contraria al principio di prevedibilità”.

La sentenza ha anche ricordato che già negli “Orientamenti per l’attuazione/applicazione della direttiva 2005/29/CE relativa alle pratiche commerciali sleali” del 25 maggio 2016, la Commissione Europea aveva affermato che “i dati personali, le preferenze dei consumatori e altri contenuti generati dagli utenti hanno un valore economico de facto”.

Non può quindi revocarsi in dubbio che, nel contesto dell’economia digitale, i dati personali e le informazioni riguardanti la navigazione dell’utente in internet costituiscano un’utilità patrimoniale, suscettibile di sfruttamento economico da parte del soggetto che la ottiene.

Non può condurre a diversa conclusione nemmeno la circostanza che, nella fattispecie, l’accesso ai servizi Google e la creazione dell’account Google siano consentiti anche in assenza del consenso all’utilizzo dei dati.

Ciò che rileva è, infatti, la natura patrimoniale del bene oggetto della decisione che il consumatore deve assumere, che fa sì che la stessa possa essere qualificata come decisione di natura “commerciale”, ai fini della quale risulta necessaria un’informazione quanto più chiara e completa da parte del professionista.

Il fatto che, poi, anche ove l’utente si sia determinato nel senso di non accettare la cessione sia consentito accedere ai servizi forniti, e che quindi il dato non costituisca il “corrispettivo” in senso tecnico del servizio, è un’eventualità successiva che non elimina la necessità di una corretta informazione al fine di assicurare una scelta consapevole sull’accettazione o meno dell’utilizzo a fini pubblicitari delle preferenze personali.

Come già affermato nella sentenza n. 260/2020 sopra citata, inoltre, “deve anche escludersi che l’omessa informazione dello sfruttamento ai fini commerciali dei dati dell’utenza sia una questione interamente disciplinata e sanzionata nel “Regolamento privacy”.

La non sovrapponibilità dei piani relativi alla tutela della “privacy” e alla protezione del consumatore si desume dalle considerazioni svolte dalla Corte di giustizia dell’Unione Europea, del 13 settembre 2018, nelle cause riunite C 54/17 e C 55/17, nella quale si è statuito che la disciplina consumeristica non trova applicazione “unicamente quando disposizioni estranee a quest’ultima, disciplinanti aspetti specifici delle pratiche commerciali sleali, impongono ai professionisti, senza alcun margine di manovra, obblighi incompatibili con quelli stabiliti dalla direttiva 2005/29”.

Non sussiste, nel caso di specie, alcuna incompatibilità o antinomia tra le previsioni del “Regolamento privacy” e quelle in materia di protezione del consumatore, in quanto le stesse si pongono in termini di complementarietà, imponendo, in relazione ai rispettivi fini di tutela, obblighi informativi specifici, in un caso funzionali alla protezione del dato personale, inteso quale diritto fondamentale della personalità, e nell’altro alla corretta informazione da fornire al consumatore al fine di fargli assumere una scelta economica consapevole.

9. Per le medesime ragioni, non esiste neppure il paventato rischio di un effetto plurisanzionatorio della medesima condotta (intesa come identico fatto storico) posta in essere dal professionista che gestisce il “social network”. L’oggetto di indagine da parte delle competenti autorità riguarda, infatti, condotte differenti dell’operatore, afferenti nel primo caso al corretto trattamento del dato personale ai fini dell’utilizzo della piattaforma e nel secondo caso alla chiarezza e completezza dell’informazione circa lo sfruttamento del dato ai fini commerciali”.

Dunque, in termini generali, il valore economico dei dati dell’utente impone al professionista di comunicare al consumatore che le informazioni ricavabili da tali dati saranno usate per finalità commerciali e, in assenza di adeguate informazioni, ovvero nel caso di affermazioni fuorvianti, la pratica posta in essere può essere qualificata come ingannevole.

Di conseguenza deve essere disatteso l’assunto della carenza di potere in materia dell’Autorità garante della concorrenza e del mercato.

Con il secondo motivo la ricorrente ha dedotto di avere correttamente informato gli utenti in merito alla possibilità di utilizzazione per finalità commerciali dei loro dati; gli utenti che intendevano creare un account dovevano infatti leggere una breve informativa concernente il fatto che, in base alle scelte effettuate in fase di registrazione, Google avrebbe potuto trattare i loro dati di navigazione “per pubblicare annunci personalizzati”.

Anche tale doglianza è infondata.

Dall’esame dei messaggi forniti nella fase di creazione dell’account Google e durante l’utilizzo di vari servizi offerti da Google si evince, infatti, che, come contestato dall’AG, quest’ultima non forniva un’immediata ed esplicita indicazione ai consumatori in merito alla raccolta ed utilizzo dei loro dati personali a fini commerciali.

Le informazioni rese sia in sede di creazione dell’account Google, che con riferimento all’accesso ai servizi di Google che non richiedono la sottoscrizione di un account, non erano infatti di immediata evidenza, in quanto posizionate in pagine raggiungibili attraverso link di consultazione meramente eventuali, come tali non idonei ad informare adeguatamente il consumatore sulla raccolta e utilizzo a fini commerciali dei suoi dati.

In particolare, l’utente, in sede di creazione dell’account, aveva la possibilità di leggere un breve riepilogo della Privacy Policy di Google in cui veniva informato del fatto che la società avrebbe utilizzato i dati personali “ per pubblicare annunci personalizzati, in base alle impostazioni dell’Account, sia sui Servizi Google sia su siti ed app partner di Google ” e che “ a seconda delle impostazioni dell’Account, Google mostra annunci personalizzati basati sulle informazioni relative all’utilizzo della Ricerca Google e di YouTube ”.

L’utente poteva, inoltre, leggere ed accettare i Termini di Servizio e la Privacy Policy di Google, all’interno dei quali era presente una sezione in cui si indicava come: “ a seconda delle tue impostazioni, potremmo mostrarti annunci personalizzati in base ai tuoi interessi ”.

In nessuna parte di tale riepilogo, tuttavia, era in alcun modo menzionato l’utilizzo a fini commerciali e pubblicitari delle informazioni in ordine alle preferenze di navigazione.

L’unico accenno al riguardo era la possibilità di “personalizzazione” degli annunci, menzionata unitamente alle informazioni riguardanti gli altri possibili utilizzi dei dati direttamente connessi con l’erogazione dei servizi di Google, relativi alla sicurezza e alla qualità e senza alcuna particolare preminenza grafica.

Risulta quindi evidente l’assenza di un’adeguata informativa in merito all’utilizzo dei dati a fini commerciali nell’ambito della fruizione dei servizi di Google.

Non può, poi, ritenersi idoneo a sopperire a tale carenza il pop-up informativo che veniva mostrato nell’immediatezza dell’accettazione che concludeva il processo di registrazione dell’account Google.

Da un lato, infatti, questa finestra appariva solo in un momento in cui il consumatore aveva ormai assunto la decisione di creare l’account Google; dall’altro, anche il testo del pop-up era caratterizzato da opacità informativa, non contenendo indicazioni esplicite sull’uso a fini commerciali dei dati raccolti da Google. Infine, con riferimento ai servizi di Google che non richiedono la sottoscrizione di un account (Youtube, Google maps ecc.), tale pop-up appariva quando l’utente tentava di accedere per la prima volta alla pagina relativa ad uno di tali servizi ma, anche in tal caso, non conteneva un riferimento chiaro ed inequivoco in merito all’utilizzo dei dati dell’utente per finalità di marketing, limitandosi ad indicare che “ Google usa i cookie e altri dati per fornire, gestire e migliorare i nostri servizi e gli annunci. Se accetti, personalizzeremo i contenuti e gli annunci che visualizzi in base alle tue attività sui Servizi Google ”, riproducendo così, sostanzialmente, la dizione già sopra riportata con riferimento alla “personalizzazione” degli annunci.

Nemmeno le informazioni contenute nei “Termini di servizio” di Google, a cui si accedeva tramite appositi link cliccabili dalla pagina di registrazione al motore di ricerca, risultavano idonee a colmare il gap informativo rilevato, poiché la loro consultazione era solo eventuale e, anche in questo caso, non veniva esplicitato chiaramente l’uso del dato per finalità commerciali. L’utente avrebbe potuto, dunque, creare un account Google senza una piena consapevolezza dell’utilizzazione a fini pubblicitari delle informazioni provenienti dalle proprie preferenze di navigazione.

Pertanto l’informativa fornita ai consumatori, in sede di attivazione dell’account o di primo accesso a ciascun servizio in modalità “ospite”, in merito al possibile trattamento dei dati dell’utente ai fini commerciali, deve ritenersi, come rilevato dall’Autorità, priva di immediatezza, chiarezza e completezza informativa in riferimento all’attività di raccolta e utilizzo, a fini commerciali, dei dati degli utenti, e dunque non sufficiente a fornire un quadro informativo completo e agevolmente fruibile delle condizioni di accesso ai servizi.

Con il terzo motivo la ricorrente ha contestato la qualificazione in termini di aggressività della preimpostazione, da parte di Google, del consenso alla cessione dei dati personali relativi alla navigazione in internet.

In proposito deve osservarsi che l'art. 24 del codice del consumo, nel descrivere la pratica commerciale aggressiva, pur indicando alcune possibili modalità, collega la ricorrenza dell'illecito ad una valutazione finalistica, ravvisabile ogni volta che “nella fattispecie concreta, tenuto conto di tutte le caratteristiche e circostanze del caso”, la condotta del professionista, creando un indebito condizionamento, “limita o è idonea a limitare considerevolmente la libertà di scelta o di comportamento del consumatore medio in relazione al prodotto e, pertanto, lo induce o è idonea ad indurlo ad assumere una decisione di natura commerciale che non avrebbe altrimenti preso” (TAR Lazio, 18 gennaio 2019, n. 701).

In relazione alla definizione di “pratica aggressiva”, è stato affermato che l’indebito condizionamento che la contraddistingue comprende tutti i casi in cui, pur senza vere e proprie molestie o coercizioni, sia comunque rinvenibile uno sfruttamento, da parte del professionista, di una posizione di potere rispetto al consumatore per esercitare una pressione tale da limitare notevolmente la capacità del consumatore di prendere una decisione consapevole (T.A.R. Lazio, Roma, Sez. I, 22 dicembre 2020, n. 13882; 24 settembre 2020, n. 9764).

Alla luce di tali principi il Collegio ritiene che la condotta contestata sia senz’altro riconducibile alla nozione di pratica aggressiva, avendo il professionista esercitato nei confronti dei consumatori un indebito condizionamento del loro processo decisionale, sfruttando la sostanziale asimmetria informativa rispetto agli utenti dei servizi internet, e comprimendo le facoltà di scelta degli utenti con riferimento alle modalità di accettazione del trasferimento dei dati.

In particolare, il meccanismo di accettazione predisposto da Google prevedeva, nella fase di creazione dell’account, che il consumatore trovasse preselezionata, in via generalizzata e preventiva, la casella dell’accettazione del trasferimento e/o utilizzo dei propri dati per fini commerciali.

Come rilevato dall’Autorità ai parr. 65 e ss. del provvedimento, dove sono inserite anche le immagini delle schermate del sito Google contestate, nel procedimento di registrazione dell’account previsto da Google la preattivazione delle impostazioni comportava che l’utente, solo agendo in c.d. opt-out per deselezionare i tasti “ salva l’attività web e app nel mio account Google ”- “ salva la cronologia di Youtube nel mio account Google ”- “ mostrami annunci personalizzati ”, attraverso cui si gestisce il consenso al trattamento dei propri dati, avrebbe potuto esercitare l’opzione contraria, disattivando la generale predisposizione alla trasmissione dei propri dati che, in assenza di un suo intervento, avrebbe avuto luogo per effetto della presenza di scelte preselezionate in favore dell’autorizzazione all’utilizzo degli stessi.

L’operazione di registrazione prevedeva anche la possibilità per l’utente di cliccare sulla casella “Altre opzioni”, al fine di gestire le proprie impostazioni sulla privacy (compresa la stessa personalizzazione degli annunci).

L’attivazione di tale percorso non era, però, un passaggio imprescindibile per la registrazione: se l’utente non avesse aperto la finestra “altre opzioni”, la scelta sarebbe rimasta pre-impostata sul consenso, tanto che si sarebbe potuto procedere, indipendentemente dalla consultazione di tale pagina, all’iscrizione cliccando su “Accetto” e concludendo il processo di registrazione, previa visione di un messaggio, a titolo di conferma della pre-impostazione, dal seguente contenuto: “ Questo account Google è impostato per includere le funzionalità di personalizzazione come consigli e annunci personalizzati basati sulle informazioni salvate nel tuo account; Puoi scegliere “Altre opzioni” per modificare le impostazioni di personalizzazione e le informazioni salvate nel tuo account ”.

L’Autorità ha correttamente evidenziato, pertanto, che le caselle preimpostate potevano essere deselezionate solo attraverso una procedura non immediata, che richiedeva un comportamento attivo da parte dell’utente, dipendente dalle informazioni fornite dalla ricorrente, non di immediata percepibilità; inoltre, nei messaggi disponibili sul sito Google non si evidenziava in alcun modo che la preimpostazione del consenso comportava la possibilità di utilizzo dei dati a fini commerciali.

A riprova di ciò, il provvedimento ha dato conto del fatto che nell’anno 2020 sono stati creati in Italia una media di 400.000 account Google ogni settimana e, di questi, il numero degli utenti che hanno accettato i Termini di servizio senza escludere alcuna forma di profilazione è stato pari al 94,8% dei casi.

Pertanto, il sistema di preselezione predisposto dalla ricorrente, con riferimento alla scelta relativa al trasferimento dei dati per l’utilizzo a fini commerciali, ha indotto un numero considerevole di iscritti ad assumere, senza la dovuta informazione al riguardo e, quindi, in modo inconsapevole, una decisione che comportava la preventiva generale abilitazione all’utilizzo e condivisione a fini commerciali dei dati.

Inoltre, l’Autorità ha precisato, con considerazioni motivate ed immuni da vizi logici, che la modifica successivamente posta in essere dalla ricorrente, consistente nell’aver attivato un nuovo processo di registrazione dell’account che forniva ai consumatori una informativa sul trattamento dei loro dati, incluso il loro possibile uso per scopi commerciali, senza preselezionare alcuna opzione, non risultava idonea a rimuovere i profili di scorrettezza contestati.

La misura proposta, infatti, non incideva sulle impostazioni relative agli account già in essere, lasciando invariata la posizione di tutti gli utenti che già disponevano di un account Google. Le opzioni in precedenza già preimpostate sul consenso, quindi, sarebbero rimaste tali a meno che l’utente non avesse deciso di sua iniziativa di gestire le proprie impostazioni sulla privacy. Inoltre, qualsiasi deselezione fatta a posteriori da un utente Google per togliere il consenso già attivo alla cessione dei propri dati personali non avrebbe comunque potuto rimuovere gli effetti già prodotti.

Tale condotta, come correttamente rilevato dall’AG, è idonea ad integrare gli estremi della pratica aggressiva ai sensi degli artt. 24 e 25 del Codice del consumo, in quanto limita considerevolmente la libertà di scelta del consumatore, facendogli assumere una decisione di natura commerciale che non avrebbe altrimenti preso, ossia cedere automaticamente i propri dati a Google.

In particolare, mediante la preimpostazione del consenso all’utilizzo dei dati la ricorrente ha esercitato un indebito condizionamento nei confronti dei propri utenti, non consentendo loro di esercitare una scelta preventiva, consapevole e autonoma in ordine alla cessione dei propri dati a fini commerciali.

La preattivazione determinava infatti, già di per sé, il trasferimento e l’utilizzo dei dati da parte di Google, una volta che questi venivano generati, senza la necessità a tal fine di ulteriori passaggi in cui l’utente potesse confermare o modificare la soluzione preimpostata, esprimendo la propria opzione.

L’alternativa per evitare la cessione comportava la necessità di avviare una complessa e non immediata procedura per la disattivazione, con la conseguenza che l’utente era fortemente portato a cliccare rapidamente sul tasto di accettazione al fine di procedere nella fruizione dei servizi, senza prendere in considerazione le possibili alternative.

Sotto tale profilo, inoltre, le modalità di preselezione dell’autorizzazione alla cessione dei dati differiscono da quelle esaminate dal Consiglio di Stato nella sentenza 29 marzo 2021, n. 2631, che ha confermato la pronuncia di questa Sezione n. 260 del 10 gennaio 2020, laddove l’istruttoria svolta dall’Autorità aveva comprovato la necessità, ai fini dell’autorizzazione, di “ compiere numerosi passaggi, che si concludono solo quando, una volta raggiunta tramite il login di Facebook la “app” di terzi, l’utente decide di procedere alla sua installazione ”.

Nel caso oggetto di tali pronunce, infatti, è stato accertato che “ la “pre-attivazione” della piattaforma Facebook (vale a dire la “preselezione” delle opzioni a disposizioni) non solo non comporta(va) alcuna trasmissione di dati in modo diretto ed immediato dalla piattaforma di FB a quella di soggetti terzi, ma è(ra) seguita da una ulteriore serie di passaggi necessitati, in cui l’utente è(ra) chiamato a decidere se e quali dei suoi dati intende(sse) condividere al fine di consentire l’integrazione tra le piattaforme ”, non potendo affermarsi che la piattaforma era “ automaticamente attivata con validità autorizzativa generale ”, come ritenuto dal provvedimento sanzionatorio (Cons. Stato, sentenza 29 marzo 2021, n. 2631).

Nella fattispecie in esame la procedura di creazione dell’account Google prevedeva una prima schermata, con le caselle preselezionate “ Salva l’attività web e app nel mio account Google ”, “ mostrami annunci personalizzati ” e “ salva la cronologia di Youtube nel mio account Google ”; la seconda schermata con la casella preselezionata riguardava l’accettazione del trattamento dei dati “ come descritto in precedenza e come spiegato nelle norme sulla privacy ”; vi era infine una terza schermata di conferma preselezionata, concernente l’inclusione delle “ funzionalità di personalizzazione, ad esempio i consigli e gli annunci personalizzati, basate sulle informazioni personali salvate nel tuo account ”; tuttavia, solo la prima schermata conteneva anche la casella, non selezionata, dell’alternativa negativa, mentre in nessuna delle due schermate comparivano, a fianco di quelle preselezionate, le ipotetiche caselle da barrare per non dare il consenso; l’unica possibilità era, eventualmente, cliccare sulla casella “altre opzioni”.

Pertanto, diversamente dal caso Facebook, sopra citato, l’opzione fondamentale era contenuta nel primo passaggio, definito dalla ricorrente come volto a “salvare” la cronologia delle ricerche e l’attività compiuta sul web e consentire di mostrare “annunci personalizzati”, mentre il passaggio successivo comportava solo la conferma delle opzioni selezionate.

Inoltre, né nella prima fase, né nelle due successive, era menzionata in alcun modo l’utilizzazione dei dati a fini commerciali e pubblicitari, sicché l’autorizzazione espressa risultava comunque condizionata dalle modalità di accettazione, preselezionate e prive sia di una chiara possibilità alternativa che di un’informazione precisa in ordine al contenuto dell’opzione formulata.

Anche sotto tale profilo, quindi, le conclusioni dell’Autorità con riferimento all’aggressività della pratica si palesano immuni dai vizi contestati.

Infine, devono essere disattese le doglianze sulla quantificazione della sanzione, di cui all’ultimo motivo di ricorso.

La sanzione è stata calcolata, nella fattispecie, tenendo conto dei criteri fissati dalla legge n. 689/81, richiamati dall’art. 27, comma 13, cod. cons. e, in particolare, della gravità della violazione, dell’opera svolta dall’impresa per eliminare o attenuare l’infrazione, della personalità dell’agente, nonché delle condizioni economiche dell’impresa stessa.

Con riguardo alla gravità della violazione, si è tenuto conto della notevole dimensione economica del professionista, con un fatturato pari a 45,7 miliardi di euro ed appartenente ad un gruppo leader a livello mondiale per numero di utenti.

Al riguardo deve, infatti, considerarsi che l’importo della sanzione deve tener conto delle dimensioni economiche dell’impresa non solo al fine di assicurare gli effetti deterrenti della sanzione, ma anche perché esse possono aggravare la valenza lesiva della condotta.

Né può ritenersi, come dedotto dalla ricorrente, che la pratica accertata, non concernendo un’omissione assoluta in ordine al trattamento dei dati per scopi commerciali, debba ritenersi di minima gravità.

L’Autorità ha motivato, infatti, la valutazione della gravità delle condotte contestate, considerando a tal fine, oltre alla particolare rilevanza del professionista, altri fattori, ovvero il grado di diffusione della pratica, estesa, tramite Internet, a tutto il territorio nazionale, la peculiarità del contesto di riferimento in quanto innovativo e implicante l’acquisizione, scambio e utilizzo di informazioni personali rilevanti alle quali è attribuibile un ingente valore economico, e la particolare natura del profilo di scorrettezza, caratterizzato da modalità aggressive di acquisizione del consenso al trasferimento e utilizzo dei dati degli utenti per finalità di profilazione e pubblicitarie.

Quanto all’assunto secondo cui i due illeciti avrebbero dovuto essere qualificati come un’unica pratica, deve evidenziarsi che l’Autorità ha delineato distintamente le condotte contestate, che presentano autonomia strutturale e funzionale, di tal che risulta correttamente applicato il criterio del cumulo materiale delle sanzioni, in luogo del cumulo giuridico (Consiglio di Stato, Sezione VI, sentenza n. 209 del 19 gennaio 2012).

Con riferimento alle proposte di impegni ed all’applicabilità della relativa circostanza attenuante, il provvedimento ha precisato, come sopra evidenziato, che le misure proposte non consentivano di elidere i profili di scorrettezza e aggressività delle pratiche accertate, poiché non incidevano sugli account già creati; di conseguenza, correttamente l’Autorità, nell’esercizio del proprio apprezzamento discrezionale in ordine alla concedibilità delle attenuanti, ha ritenuto tale aspetto non idoneo ad incidere sul disvalore delle condotte

Per quanto riguarda la durata delle violazioni, entrambe le condotte sono state poste in essere almeno dall’anno 2015 ed erano ancora in corso al momento dell’adozione del provvedimento impugnato.

Dunque, anche in relazione all’attività di quantificazione della sanzione, il provvedimento impugnato risulta immune dai prospettati vizi e, conseguentemente, il ricorso deve essere respinto.

Le spese di lite possono essere compensate nei confronti di IC, mentre seguono la soccombenza e si liquidano come in dispositivo in favore dell’AG.

P.Q.M.

Il Tribunale Amministrativo Regionale per il Lazio (Sezione Prima), definitivamente pronunciando sul ricorso, come in epigrafe proposto, lo respinge.

Compensa le spese nei confronti di IC e condanna la ricorrente alla rifusione in favore dell’Autorità resistente delle spese di lite, che si liquidano in complessivi euro 5.000,00 oltre accessori di legge.

Ordina che la presente sentenza sia eseguita dall'autorità amministrativa.

Così deciso in Roma nella camera di consiglio del giorno 12 ottobre 2022 con l'intervento dei magistrati:

Antonino Savo Amodio, Presidente

Francesca Petrucciani, Consigliere, Estensore

Filippo Maria Tropiano, Consigliere

L'ESTENSORE	IL PRESIDENTE
Francesca Petrucciani	Antonino Savo Amodio

IL SEGRETARIO