Una class action ammessa da un tribunale italiano per la prima volta in materia di privacy cambia le coordinate del rischio legale per chi gestisce dati su piattaforme digitali. La decisione riguarda Meta e lo scraping che ha colpito milioni di profili Facebook, ma le sue implicazioni toccano qualunque azienda che tratti informazioni personali su larga scala.
Cosa ha deciso il tribunale di Milano
Con l’ordinanza n. 1251 del 10 aprile 2026 la Sezione specializzata in materia di impresa ha dichiarato ammissibile l’azione rappresentativa promossa dal Centro Tutela Consumatori Utenti di Bolzano contro Meta Platforms Ireland Limited.
Il procedimento riguarda il data scraping che ha interessato Facebook tra gennaio 2018 e settembre 2019, un episodio reso noto dalla stessa Meta nel 2021 e che ha coinvolto circa 533 milioni di profili in tutto il mondo. Tra questi figurano oltre 35 milioni di utenti italiani, i cui dati sono comparsi in seguito in vendita sul darknet, esponendo le persone coinvolte al rischio concreto di spam, phishing e furti di identità. Secondo il giudice, la responsabilità della piattaforma (che dovrà essere accertata nella successiva fase di merito) si fonderebbe sulla mancata adozione di misure tecniche e organizzative adeguate a prevenire l’accesso non autorizzato ai dati, con conseguente violazione dei principi di privacy by design e by default.
Perché la soglia di gravità non serve più
L’aspetto più innovativo dell’ordinanza riguarda il danno non patrimoniale da perdita di controllo dei dati personali. Il tribunale, allineandosi all’orientamento della Corte di giustizia dell’Unione europea, ha chiarito che questo tipo di danno può essere risarcito anche senza dimostrare il superamento di una soglia minima di gravità della lesione. Per gli utenti coinvolti significa poter agire anche quando il pregiudizio subito non si è tradotto in un danno economico immediato e verificabile.
Il giudice ha inoltre specificato che l’associazione può esercitare l’azione senza bisogno di un mandato individuale da parte dei singoli danneggiati, in coerenza con l’obiettivo di garantire un livello elevato di tutela ai consumatori previsto dal Codice del consumo. A questo si aggiunge un chiarimento sull’omogeneità dei diritti fatti valere: tale requisito può sussistere anche quando da uno stesso fatto plurioffensivo derivino voci di danno diverse, purché riconducibili a sottoclassi di soggetti lesi e liquidabili con criteri standardizzabili per singola tipologia. Sono questi elementi, considerati insieme, a rendere la pronuncia un punto di riferimento per i procedimenti futuri.
Cosa cambia per le aziende che trattano dati
Il precedente milanese ha una ricaduta diretta sulla gestione del rischio da parte delle imprese che trattano dati personali su larga scala. In un contesto economico sempre più fondato sui dati, valutare con attenzione i rischi di sicurezza e documentare le misure di prevenzione adottate diventa un elemento centrale della logica di accountability su cui si fonda il GDPR. Le carenze di compliance possono generare conseguenze sia sul piano sanzionatorio amministrativo sia su quello della responsabilità civile, con spazio per l’esercizio di azioni risarcitorie collettive.
Un portavoce di Meta ha dichiarato di rispettare la decisione senza condividerla, definendola una pronuncia procedurale che non accerta alcuna violazione di legge da parte dell’azienda.
