La Cassazione blocca l’Antitrust, senza il via libera del Garante Privacy nessuna sanzione

Tempo di lettura: 4 minuti

Le Sezioni Unite della Cassazione impongono all'AGCM di consultare il Garante Privacy prima di sanzionare pratiche commerciali scorrette che coinvolgono dati personali, richiamando il caso Telepass e la giurisprudenza CGUE sul principio di leale cooperazione. La sentenza della Corte Suprema statunitense Trump v. Slaughter sulle tutele dei Commissioner FTC riapre intanto la discussione sulla tenuta del Data Privacy Framework UE-USA e sull'ipotesi di una terza pronuncia CGUE nota come Schrems III.

Intro: quando la concorrenza si gioca con i dati.

Ogni giorno, mi sveglio e so che il mondo digitale corre rapidamente…

Quante volte abbiamo sentito dire che “i dati sono il nuovo petrolio”? Forse ben oltre il dovuto, al punto che l’espressione ci ha probabilmente desensibilizzato l’opinione dei più circa il valore strategico della raccolta ed impiego dei dati personali alla pari di qualsiasi altro asset di mercato. Probabilmente questa difficoltà deriva dal fatto che i dati si collocano solitamente nell’incrocio fra il mondo digitale, in cui sono raccolti ed impiegati, e il mondo della materia nel quale insistono gli impatti dei trattamenti svolti. Di conseguenza, è logico domandarsi se e in che modo una raccolta ed impiego illecito dei dati – ovverosia un uso al di fuori delle “regole del gioco” – possa configurare un’azione di concorrenza sleale e non solo comportare una violazione della normativa in materia di protezione dei dati personali.

Anche perché, fra l’altro, si incontra necessariamente il principio del ne bis in idem che, nell’ottica di quell’interpretazione fornita dalla CGUE con la causa C-27/22, in ragione della natura afflittiva e repressiva della sanzione antitrust trova applicazione escludendo, in linea generale, la duplicazione di procedimenti e sanzioni fra Stati membri diversi.

La questione delle intersezioni fra privacy ed antitrust è emersa con la causa della CGUE C-252/21 “Meta Platforms”, in cui è stata confermata la possibilità che nel constatare un abuso di posizione dominante da parte di un’impresa possano emergere anche questioni relative alla violazione della disciplina in materia di protezione dei dati personali, stabilendo però un obbligo di leale cooperazione fra autorità antitrust e autorità di controllo. Questo obbligo è stato recentemente confermato anche dalle SS.UU della Cassazione, secondo cui la consultazione del Garante Privacy è un onere procedimentale nel caso in cui le pratiche commerciali scorrette coinvolgano attività di trattamento dei dati personali e l’accertamento delle stesse sia rilevante ai fini dell’istruttoria.

Outro: il dito del diritto, la luna della complessità inevitabile.

Il dilemma posto potrebbe sembrare analogo all’indagine circa la prenatalità della dell’uovo o della gallina, eppure ha delle conseguenze di rilevante impatto tanto per le imprese che per i cittadini che operano, agiscono e vivono nel mercato unico digitale europeo. Ci sono alcuni aspetti da non sottovalutare, dal momento che non riguardano le sole pareti della nota caverna platonica delle alte corti che spesso discettano delle ombre dei diritti, ma possono avere un precipitato pratico.

Ad esempio, se da un lato vengono moltiplicati gli strumenti di tutela, i vincoli procedimentali potrebbero rallentare le istruttorie o aumentare le possibilità di impugnazione delle sanzioni antitrust. Tutte cose che saranno destinate ad essere apprese nel tempo, quando dispiegheranno i propri effetti. Beninteso, sempreché venga posta sufficiente attenzione a riguardo.

La luna a cui guardiamo, ben oltre il dito del diritto, è quella della complessità inevitabile degli scenari digitali sia per loro natura che per la regolamentazione. Ad esempio, nelle terre d’oltreoceano la recente sentenza della Corte Suprema che ha impattato sull’indipendenza della Federal Trade Commission, impatterà sulla tenuta del Data Privacy Framework e comporterà una probabile sentenza Schrems III. Il motivo? La FTC è stata individuata come autorità garante dell’applicazione degli accordi di trasferimento dei dati personali fra Unione Europea e Stati Uniti, ma ne è venuto meno il requisito fondamentale di indipendenza.

Ecco dunque che nella complessità degli intermondi digitali, e di Splinternet, si realizza il butterly effect, per cui il battito d’ali di una farfalla provocherebbe un uragano dall’altra parte del mondo.

Stefano Gazzella

Stefano Gazzella

Romano, legalnerd e gattaro. Nel tempo libero: Privacy Officer e Data Protection Officer, perché capire i manualoni è sempre stato facile da D&D scatola rossa in poi. Giornalista freelance, scrive su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni per far credere ai più di avere un sacco di tempo libero. Dopo aver coordinato il Comitato Scientifico di Assoinfluencer, di cui è tanto orgoglioso, ora è Consigliere dell’Associazione Creator Economy. Content creator su LinkedIn, è Evangelist del Digital Security Festival.