Negli ultimi anni i dati hanno assunto un’importanza via via crescente nell’organizzazione delle attività di produzione e di scambio, al punto da poter essere considerati una risorsa economica a tutti gli effetti, anzi la risorsa più importante in molti settori; infatti, grazie agli avanzamenti nell’ambito dell’Information e Communication Technology (ICT), le organizzazioni tendono a raccogliere dati di qualsiasi tipo (personali e non personali), ad elaborarli in tempo reale per migliorare i propri processi decisionali ed, infine, a memorizzarli in maniera permanente al fine di poterli riutilizzare in futuro od al fine di estrarne nuova conoscenza. La creazione dei dati sta seguendo un processo esponenziale: infatti, nell’anno 2018, il volume totale dei dati creati nel mondo è stato di 28 zettabyte (ZB), registrando un aumento di più di dieci volte rispetto al 2011; il motore primario di questo processo di generazione è indubbiamente internet: attraverso la rete in un minuto sono inviati 44 milioni di messaggi, sono effettuate 2,3 milioni di ricerche su Google, sono generati 3 milioni di “mi piace” e di condivisioni su Facebook.

Fatta questa doverosa premessa, occorre ora analizzare la sentenza n. 261 del 10.1.2020 con cui il T.A.R. del Lazio ha, di recente, fornito una serie di utili indicazioni per le imprese che intendono implementare delle iniziative di business basate, in sostanza, sullo sfruttamento dei dati personali degli utenti iscritti.
Nello specifico, il T.A.R. – nello smentire le censure di Facebook, la quale aveva eccepito la carenza di potere dell’AGCM che – nell’emanare il provvedimento sanzionatorio (poi impugnato con il ricorso al tribunale amministrativo laziale, riguardo al quale quest’ultimo ha emanato la sentenza qui in commento) per violazione del D.Lgs. n. 206 del 6.9.2005 (cd. Codice del Consumo) con riferimento all’attività di acquisizione dei dati degli utenti iscritti al suo social network – avrebbe, a suo dire, invaso un campo di esclusiva competenza dell’Autorità Garante per la Protezione dei dati personali – ha affermato che, invero, lo sfruttamento dei dati personali può costituire un asset disponibile in senso negoziale suscettibile di sfruttamento economico e, quindi, idoneo ad assurgere alla funzione di controprestazione (in senso tecnico) di un contratto.
Oltre a ciò, il T.A.R. ha altresì precisato che, a fronte della tutela del dato personale quale espressione di un diritto della personalità dell’individuo e come tale soggetto a specifiche e non rinunciabili forme di protezione (es. diritto di revoca, di accesso, di rettifica etc.), sussiste, pure, un differente campo di protezione del dato personale medesimo, inteso quale possibile oggetto di compravendita posta in essere tra gli operatori del mercato ovvero tra questi ultimi ed i relativi soggetti interessati.

Dunque, il fenomeno della cd. patrimonializzazione del dato personale, tipico delle nuove economie dei mercati digitali, impone agli operatori di rispettare, nelle relative transazioni commerciali, quegli obblighi di chiarezza, completezza e non ingannevolezza delle informazioni previste dalla legislazione a protezione del consumatore, il quale deve essere reso edotto dello scambio di prestazioni che è sotteso alla adesione ad un contratto per la fruizione di un servizio, qual è quello di utilizzo di un social network (n.d.r.: dall’esame dei bilanci di Facebook è, infatti, emerso che i ricavi provenienti dalla pubblicità online basata sulla profilazione degli utenti a partire dai loro dati costituiscono l’intero fatturato di Facebook Ireland Ltd ed il 98% di quello della capogruppo Facebook Inc.: in sostanza, si tratta di una dinamica tipica dei cd. “two sided markets”, ovvero quei mercati in cui l’impresa, da un lato, offre un servizio senza richiedere un corrispettivo in denaro e, dall’altro, ne ottiene un ritorno economico connesso al numero di utenti che aderiscono al servizio, derivante, ad esempio, dalla vendita di spazi pubblicitari mirati ovvero dalla cessione a terzi dei dati dei propri utenti).

A tal riguardo, il T.A.R. ha, dunque, precisato che “Non sussiste […] alcuna incompatibilità ovvero antinomia tra le previsioni del “Regolamento Privacy” e quelle in materia di protezione del consumatore, in quanto le stesse si pongono in termini di complementarietà, imponendo, in relazione ai rispettivi fini di tutela, obblighi informativi specifici, in un caso funzionali alla protezione del dato personale, inteso quale diritto fondamentale della personalità, e nell’altro alla corretta informazione da fornire al consumatore al fine di fargli assumere una scelta economica consapevole”. In ragione di ciò, non esiste, neppure, il rischio di un effetto plurisanzionatorio della medesima condotta posta in essere dal professionista che gestisce il social network: infatti, l’indagine, da parte delle competenti autorità, riguarda condotte differenti dell’operatore, afferenti nel primo caso al corretto trattamento del dato personale ai fini dell’utilizzo della piattaforma e nel secondo caso alla chiarezza ed alla completezza dell’informazione circa lo sfruttamento (ai fini commerciali) del dato.

In conclusione, il caso giudiziario in discussione certifica ulteriormente la piena competenza dell’AGCM a pronunciarsi sulle attività di acquisizione e sfruttamento dei dati e ciò sulla base dell’assunto che la normativa sulla privacy e quella preposta alla tutela dei consumatori e del mercato perseguono obiettivi diversi, seppur complementari.
A conferma di ciò, giova, da ultimo, ricordare che il 10.2.2020 è stato pubblicato il rapporto finale dell’”Indagine conoscitiva sui big data” condotta, in modo congiunto, dall’AGCOM, dall’AGCM e dal Garante per la Protezione dei dati personali ove viene espressamente rimarcata l’esigenza di tenere conto di entrambe le discipline in sede di implementazione delle strategie aziendali basate sullo sfruttamento dei dati personali.