Responsabilità di Facebook per chiusura immotivata di account con distruzione dei dati ivi presenti. Sul rapporto giuridico utente/piattaforma: tra protezione e commercializzazione dei dati personali
Pubblicato il 11/04/21 02:00 [Articolo 1088]
(Nota a Trib.Bologna 10 marzo 2021, giudice: Gattuso, ord. ex art. 702 ter, 5° co. c.p.c. - De Gaetano c. Facebook Ireland ltd., R.G. 5206/2020)
SOMMARIO: 1. I fatti. Giurisdizione e legge applicabile. - 2. La qualita' di consumatore. - 3. Il tipo di rapporto giuridico. - 4. Il consenso al trattamento dei dati. - 5. La disponibilita' del diritto sui propri dati personali - 6. Il recesso e altre conseguenze della contrattualita. - 7. La distruzione dei documenti (cancellazione dei dati). - 8. Risarcimento del danno. - 9. La domanda (rigettata) di adempimento contrattuale. - 10. Condanna equitativa ex art. 96 c.3 c.p.c. Ulteriori sanzioni possibili per la cancellazione dei dati?
1. In una recente ed interessante ordinanza ex art. 702 ter cpc il Tribunale di Bologna ha deciso una fattispecie un po' particolare inerente al rapporto tra piattaforma e utente. La stessa ha dunque costituito l'occasione per le riflessioni contenute nel presente scritto.
Un utente Facebook (poi anche: Fb) gestiva su tale piattaforma da dieci anni un profilo a nome proprio, collegandovi due pagine relative a libri, riviste, storie e altri cimeli militari. Fb improvvisamente gli chiuse l'account il 2 gennaio 2020, senza spiegazione. A dire del ricorrente, la ragione consistette in una ritorsione per avere egli, quale avvocato e per conto di un cliente, venti giorni prima diffidato Fb stessa a riaprire l'account del cliente: Fb gliela avrebbe allora fatta pagare, chiudendo pure a lui l'account. A quel punto il ricorrente citò Fb in giudizio, chiedendone la condanna al ripristino del profilo e delle pagine collegate nonché una penale per ogni giorno di ritardo, oltre al risarcimento dei danni.
Il colosso di Menlo Park si costituisce, eccependo (a parte la carenza di legittimazione passiva: Facebook Italia anziché Ireland), da un lato, l'impossibilità di individuare il profilo e le pagine indicati, visto che non era stata indicata la u.r.l.; dall'altro, di aver sì reperito un account legato ad una certa casella email, ma che il relativo materiale era stato distrutto in via definitiva, in modo da non poter dedurre nulla sulle ragioni di tale rimozione.
Il giudice affronta dapprima la questione della giurisdizione, strumentale alla quale c'è la questione del se si trattasse di rapporto giuridico con un consumatore (come accennato, l'utente-attore nella propria vita lavorativa faceva l'avvocato). La strumentalità deriva dal fatto che l'eventuale proroga di giurisdizione (patto sulla giurisdizione) è nulla, laddove riduca la tutela offerta ai consumatori, inderogabile. Ed in effetti le clausole generali, proposte/imposte da Facebook, prevedono una proroga di giurisdizione a favore del giudice irlandese. Il giudice forse (ma non viene detto apertis verbis), una volta accolta la qualificazione di consumatore, avrà applicato l'articolo 18 c. 1 del reg. 1215/2012, che permette al consumatore la scelta del proprio foro.
La clausola di proroga, pur non espressamente prevista nell'elenco dell'art. 33 cod. cons. , parrebbe vietata. Ciò si potrebbe conseguire, opportunamente interpretando il concetto di «deroga alla competenza dell'autorità giudiziaria» (in prima battuta riferita alla scelta dell'arbitrato) come se fosse «deroga alla competenza dell'autorità giudiziaria italiana»: interpretazione coerente con la tutela consumeristica ed anzi imposta dal fatto che la proroga a favore di giudice estero è più gravosa di un processo arbitrale in Italia. Sempre ragionando a maiori ad minus, se è vietata la deroga alla competenza territoriale, non può che essere vietato lo spostamento della giurisdizione all'estero. La dottrina è concorde .
E' curioso che in causa sia stata affrontata la questione della giurisdizione, ma non quella della legge applicabile, pur essendo un rapporto caratterizzato da elementi di internazionalità. Nell'Unione europea dovrebbe operare il reg. 593/2008 sulla legge applicabile alle obbligazioni contrattuali (Roma I), il cui art. 6 c.1 prevede la legge del paese ove il consumatore ha la residenza abituale .
Anche la recente dir. 770 del 2019, relativa a determinati aspetti dei contratti di fornitura di contenuto digitale e di servizi digitali e destinata ad essere applicata dal 1° gennaio 2022, fa salvi i predetti reg. 593/2008 e reg. 1215/2012 .
2. Il giudice esclude che dal materiale, verosimilmente messo on-line, si possa ravvisare un uso c.d. promiscuo . Con ciò lascia intendere che, se invece questo fosse stato ravvisato, non avrebbe potuto considerarlo consumatore: con le conseguenze in punto di giurisdizione.
Il giudice dà quindi per scontata la conseguenza, secondo cui, nel caso di uso promiscuo, non possa applicarsi la disciplina consumeristica. Dato il tenore letterale del regolamento cit., come anche del nostro art. 3 lettera a) cod. cons., la conclusione è probabilmente giusta; tuttavia non dà atto dell'esistenza di opinioni diverse . Del resto la disposizione sarebbe probabilmente eludibile senza particolari difficoltà da parte del professionista, solo che questi aggiungesse ad arte un tocco di vita privata (in vario modo: ad es. con opportune dichiarazioni verbali o scritte) all'atto dell'acquisto di un bene o servizio per la propria impresa. L'uso promiscuo, dunque, non è tutelato dalla normativa consumeristica (probabilmente, a meno che la componente professionale sia marginale : solo che è difficile dire quando ciò ricorra e comunque andrebbe interpretato restrittivamente).
Una volta allegata e provata la qualità di consumatore, per il giudice spettava a controparte provare la qualità professionale (p.3). Il che è sostanzialmente esatto, costituendo piana applicazione dell'art. 2697 cc. Tuttavia, più che di prova raggiunta da "smontare" da parte del convenuto provando la qualità professionale, sarebbe stato meglio parlare di allegazione e prova di fatti potenzialmente decisivi: cui controparte avrebbe eventualmente potuto (avrebbe avuto l'onere di) contrapporre fatti modificativi/estintivi/impeditivi, che inducessero a ravvisare la qualità professionale o meglio ad escludere quella consumeristica . Il giudizio di "prova raggiunta" spetta solo al giudice in sentenza, ad istruttoria conclusa. In sostanza il resistente (Fb) avrebbe dovuto contrapporre altri fatti, tali da modificare (prospetticamente) il probabile giudizio in sentenza.
E' in ogni caso esatta la considerazione, secondo cui il solo gestire un profilo Fb vantaggioso per la sua immagine pubblica, non significa che quel sito o quella pagina o quella account vadano ritenuti strumento dell'attività professionale. Vale la pena di riportare il passaggio per esteso: «ammettere in modo del tutto generico che la frequentazione di luoghi, reali o virtuali, in cui si svolge la propria vita di relazione, contribuisce alla affermazione della propria immagine e identità personale e, dunque, (anche) professionale, non significa, in buona sostanza, ammettere uno specifico uso promiscuo del mezzo. È evidente come ogni utente del social network utilizzi il proprio profilo al fine di promuovere le proprie relazioni sociali, ben oltre quelle promuovibili attraverso contatti strettamente personali, sicché vi è sempre un'evidente ricaduta in ogni sfera della personalità e della vita di relazione e, dunque, anche sul piano dell'immagine e delle relazioni professionali In buona sostanza e in conclusione, la circostanza che parte degli utenti di Facebook svolga una parte della propria vita di relazione sul social network e tragga dunque vantaggio dai propri profili anche per attività di natura professionale, non rende, di per sé e in carenza di qualsiasi evidenzia istruttoria, il loro contratto Facebook di natura professionale o promiscuo.. Non è dunque dimostrato, in alcun modo, che lo stesso abbia utilizzato il proprio profilo personale e le pagine ad esso connesse in funzione della propria attività professionale, neppure mediante un utilizzo meramente promiscuo, sicché si tratta certamente di consumatore.[in realtà l'ordine è invertito poiché questo periodo è precedente]». Il punto è importante, poiché riguarda una situazione fattuale probabilmente diffusa ed inoltre obiettivamente non chiara.
3. Il giudice passa poi esaminare il merito e cioè il tipo di rapporto tra le parti. Egli ravvisa un contratto (§ 4), ciò che -alla luce della definizione di cui il 1321 cc.- è corretto. A dir il vero, inizialmente parla di obbligazioni a carico di una parte e dell'altra, senza connetterle nel sinallagma contrattuale: con possibili incertezze per l'assenza di una conclusione chiara di esistenza di contratto ex art. 1321 ss cc, . Tale conclusione viene però affermata nel prosieguo . Sarebbe interessante indagare le condizioni predisposte da Facebook per vedere se parlano di contratto: probabilmente no, visto che secondo il giudice (riferendosi alle condizioni generali, come parrebbe dal virgolettato) parlano di "iscrizione" a servizi on-line per entrare in contatto con gli altri utenti del mondo. Il servizio fornito da Fb, dice il giudice, è "a titolo gratuito", anche se subito dopo aggiunge che Fb trae «comunque vantaggio economico dalle inserzioni pubblicitarie, anche mediante l'utilizzo di dati personali degli utenti che consentono di offrire ai terzi spazi pubblicitari calibrati sugli specifici interessi dei loro destinatari».
Nel cit. passaggio l'affermazione di gratuità non è esatta . Non solo non si tratta di prestazione liberale, ma nemmeno di prestazione gratuita: infatti la cessione del diritto sui propri dati è necessaria per accedere al servizio e quindi ne rappresenta il corrispettivo chiesto da Fb. Di solito si parla di atto "gratuito" non solo quando non è accompagnato da controimpegno, nemmeno a titolo di condizione , ma anche -in contrapposizione a "liberale"- quando si tratta di atto interessato (sotto il profilo economico o meno) . Qui invece l'impegno di Fb, da una parte, e la cessione di diritti da parte dell'utente sui propri dati (lasciamo da parte l'esatta qualificazione di questo atto dispositivo) , dall'altra, stanno in reciproco rapporto sinallagmatico: per cui, trattandosi di prestazioni a contenuto patrimoniale, il rapporto generato è inquadrabile appunto come contratto. Si potrebbe osservare che il diritto sui dati ha natura patrimoniale per Fb, non per l'utente ; ma in realtà lo ha anche per l'utente, dal momento che la proposta di Fb, riflettente il valore da essa attribuito ai dati, viene accettata dall'utente, per cui si realizza un accordo di volontà sul punto.
L'utente insomma prende atto del valore di mercato dei propri dati e aderisce all'offerta (al pubblico: art. 1336 cc) che lo esplicita, offrendogli in cambio un servizio digitale . Allo stesso modo di chi sfrutta il diritto di autore o di immagine o al nome, ove pure la natura personalissima del diritto non riesce ad occultare il suo profilo patrimoniale .
Anzi è stato osservato che non solo i dati, ma anche il tempo e l'attenzione possono considerarsi corrispettivo del servizio reso da Fb. Così ha infatti osservato l'Autorità per la Concorrenza tedesca nella nota e ponderosa decisione del 2019: «The user remains a customer, even if the service is available for free. In this respect, time or attention and the data the users enter replace the fee and can be seen as a compensation for the service. This applies in particular to ad-funded services, which offer their users' time, attention and data to advertisers in return for revenues. Ultimately, advertising markets are "markets for time" which consider the users' time and attention to be a product» . La dottrina ha esplorato le conseguenze del valore attribuito all'attenzione dell'utente, proponendo rimedi contro l'abuso del potere di mercato, ravvisabile nelle pratiche manipolative (così spesso adoperate dalle piattaforme) . L'inganno del resto non è casuale o saltuario, tutt'altro: "when deception of consumers is profitable, business communications and conduct designed by algorithms optimized only for profit will inevitably engage in deception" . Anche se da sempre, si badi, i pubblicitari cercano di fare leva sulle insoddisfazioni degli individui .
In breve, visto che proposta e accettazione combaciano e sono reciprocamente connesse, anche il requisito dell'accordo è soddisfatto : ricorre infatti il c.d. sinallagma genetico . Non c'è bisogno di precisare che questo tipo di scambio è verosimilmente alla base di tutti i servizi digitali fruibili senza corrispettivo monetario . Non tutti sanno, poi, che esiste un commercio secondario dei dati: l'acquirente primario a sua volta li mette spesso a disposizione di terzi con vere e proprie operazioni di compravendita (esistono i c.d. data broker come ad es. Acxiom, CoreLogic o Epsilon, quasi sconosciuti alla massa degli utenti , i quali talora li raccolgono anche in proprio, ad es. direttamente dai pubblici registri o da siti web con la tecnica del c.d. scraping ); oppure li usa mettendo ad asta fra inserzionisti gli spazi pubblicitari digitali e/o tramite APIs (application programming interfaces) per l'accesso dei venditori terzi ai profili Fb . Oppure che esistono collaborazioni nel settore: il gigante tecnologico può ad es. offrire un servizio di third party tracking a favore di una moltitudine di siti web e/o apps (first parties), affinchè possano rilevare statisticamente l'efficacia della propria presenza commerciale online . Prassi imprenditoriali, la cui conoscenza dovrebbe rientrare nella formazione dei giuristi di oggi per una corretta trattazione delle pratiche loro affidate: il grosso dei traffici giuridici, infatti, avviene con queste modalità .
In ogni caso, quando il consenso è espresso (anche tramite click o accettazione "per spunta" di casella), non dovrebbero esserci dubbi sulla qualifica contrattuale del rapporto emergente .
Il giudice si esprime in termini di "autorizzazione" circa l'utilizzo dei dati. Si tratta di concetto civilistico con un significato preciso. La sua utilità -se non addirittura legittimità- di uso, tuttavia, è assai dubbia , per cui sarebbe probabilmente più lineare limitarsi a parlare di "consenso" . Proprio in tema di data protection è stata proposta la tesi dello sdoppiamento dell'atto del consenso latamente inteso: uno scriminante l'ingresso nella propria sfera e l'altro permettente la circolazione dei dati relativi . Si tratta però di una distinzione di scarsa aderenza alla prassi e dunque di scarsa utilità, dato che allora potrebbe venir replicata per qualsiasi attività altrui sui propri beni materiali (es.: riparazione di un impianto idraulico in casa): non supererebbe la prova del rasoio di Occam, per cui è preferibile lasciarla da parte .
Il fatto che tale rapporto sia inquadrabile come contratto produce conseguenze giuridiche: oltre a sottoporlo alla sua disciplina comune, ad es. permette di sottoporlo a quella consumeristica ex art. 33 ss cod. cons. Potrebbe invece non apparire necessaria, a prima vista, la qualifica contrattuale per sottoporlo a quello delle pratiche commerciali sleali ex art. 18 e ss cod. cons.: qui infatti il campo d'applicazione parrebbe a prima vista più esteso, concernendo le «pratiche commerciali tra professioni e consumatori». Tuttavia, affinché "venga falsato il comportamento economico" del consumatore, è difficile ipotizzare una modalità diversa dalla stipula di un contratto (di acquisto, solitamente) .
A questo proposito non è chiara la posizione del Consiglio di Stato, che pur conferma il rigetto della tesi di Fb disposto dal giudice di primo grado. Ravvisa infatti bensì una pratica commerciale ingannevole, ma esclude che ricorra una commercializzazione dei dati: «Le surriprodotte considerazioni, ad avviso del Collegio, vanno interpretate non nel senso della creazione di "compartimenti stagni di tutela" ma della esigenza di garantire "tutele multilivello" che possano amplificare il livello di garanzia dei diritti delle persone fisiche, anche quando un diritto personalissimo sia "sfruttato" a fini commerciali, indipendentemente dalla volontà dell'interessato-utente-consumatore. Nell'appena descritta accezione non viene in emersione la commercializzazione del dato personale da parte dell'interessato, ma lo sfruttamento del dato personale reso disponibile dall'interessato in favore di un terzo soggetto che lo utilizzerà a fini commerciali, senza che di tale destino l'interessato conosca in modo compiuto le dinamiche, fuorviato peraltro dalle indicazioni che derivano dalla lettura delle condizioni di utilizzo (come nel caso di specie) di una "piattaforma informatica"» . E' ambiguo il riferimento ad una «messa a disposizione» dei dati, che non integra una loro «commercializzazione»: infatti il titolo, in base a cui la prima avviene, è quello di uno scambio, e cioè appunto quello di una commercializzazione dei dati.
In breve, il rapporto giuridico negoziale è da qualificare come contratto a titolo oneroso: il servizio digitale è erogato a fronte di un diritto sull'uso dei dati prodotti dall'attività online dell'utente . Il punto è ormai pacifico e quasi tutta la dottrina lo riconosce ; addirittura taluno suggerisce di prender spunto dalla Convenzione di Vienna sulla vendita internazionale dei beni mobili del 1980 .
Profilo, tra l'altro, che rende incerta (o almeno potrebbe modificare) l'applicazione del concetto tradizionale di mercato , in cui diversi beni venivano paragonati tramite il loro prezzo monetario, che fungeva da c.d. unità di conto: il diritto ceduto sui propri dati personali, infatti, è dubbio possa svolgere la stessa funzione. Anche se la risposta potrebbe essere positiva, dato che nel trattamento massivo dei c.d. big data scompaiono le individualità: potrebbe allora darsi che dal punto di vista della piattaforma i dati di un singolo individuo arrivassero ad avere un valore standardizzato, potendo anche alla fine fungere da unità di conto, al pari del denaro . Ma si potrebbe ribattere in senso opposto che il valore di (=le utilità ritraibili da) un profilo individuale dipende molto dalla capacità di sfruttamento del suo acquirente: per cui verrebbe meno la possibilità di svolere tale tradizionale funzione.
Ora, poi, la cosa è divenuta non controvertibile alla luce della dir. 770 del 2019, che regola l'inadempimento del fornitore di contenuti e servizi digitali e i rimedi del consumatore. L'art. 3, delimitandone l'ambito applicativo, così recita: «La presente direttiva si applica a qualsiasi contratto in cui l'operatore economico fornisce, o si impegna a fornire, contenuto digitale o un servizio digitale al consumatore e il consumatore corrisponde un prezzo o si impegna a corrispondere un prezzo. La presente direttiva si applica altresì nel caso in cui l'operatore economico fornisce o si impegna a fornire contenuto digitale o un servizio digitale al consumatore e il consumatore fornisce o si impegna a fornire dati personali all'operatore economico, fatto salvo il caso in cui i dati personali forniti dal consumatore siano trattati esclusivamente dall'operatore economico ai fini della fornitura del contenuto digitale o del servizio digitale a norma della presente direttiva o per consentire l'assolvimento degli obblighi di legge cui è soggetto l'operatore economico e quest'ultimo non tratti tali dati per scopi diversi da quelli previsti» . Il pudore dell'eurolegislatore nell'equiparare lo scambio del servizio digitale contro prezzo a quello contro dati personali (pudore indubbio alla luce del diverso wording: solo per il prezzo parla di "corrispettivi": art. 2 n. 7 e cons. 24), non riesce ad occultare che la sostanza non cambia. Si tratta sempre di impegno negoziale, consistente in uno scambio di prestazioni sinallagmaticamente legate : le quali non si possono considerare in modo reciprocamente isolato o comunque tali da evitare la qualificazione di contratto (o negozio bilaterale) . La prova sta appunto nell'equiparazione quoad poenam o meglio quoad remedium disposta dalla dir. cit., a dispetto del cons. 24 per cui «tali dati non possono dunque essere considerati una merce» .
All'opposto, si è detto che l'eurolegislatore della dir. 770/2019 confermerebbe le difficoltà nel qualificare come contrattuale la fornitura di dati contro servizio digitale: lo proverebbe il diverso wording, dovuto all'intento di lasciare impregiudicata la riconducibilità dell'operazione al tipo "contratto" (alla luce dei casi di non applicazione della dir. indicati nel cons. 25), visto che tale qualifica non sarebbe scontata nei vari ordinamenti . L'opinione non parrebbe da condividere. Al contrario, il cons. 25 esclude la dir. proprio nei casi in cui i dati non costituiscono il corrispettivo. Quando invece costituiscono corrispettivo, è il cons. 24 ad occuparsene, per affermare inequivocabilmente la contrattualità: «La fornitura di contenuti digitali o di servizi digitali spesso prevede che, quando non paga un prezzo, il consumatore fornisca dati personali all'operatore economico. Tali modelli commerciali sono utilizzati in diverse forme in una parte considerevole del mercato. Oltre a riconoscere appieno che la protezione dei dati personali è un diritto fondamentale e che tali dati non possono dunque essere considerati una merce, la presente direttiva dovrebbe garantire che i consumatori abbiano diritto a rimedi contrattuali, nell'ambito di tali modelli commerciali. La presente direttiva dovrebbe pertanto applicarsi ai contratti in cui l'operatore economico fornisce, o si impegna a fornire, contenuto digitale o servizi digitali al consumatore e in cui il consumatore fornisce, o si impegna a fornire, dati personali»(grassetto aggiunto).
4. In quest'ottica di scambio esplicito tra servizio digitale contro diritto sui dati personali (e ricordata in limine la distinzione concettuale tra tutela della privacy/riservatezza e tutela dei dati personali) , va menzionata la questione del se il consenso sia libero, quando è prestato per un servizio, alla cui esecuzione non è strettamente necessario . Vediamo se la risposta potrebbe essere positiva, nonostante l'opinione di gran lunga prevalente sia nel senso opposto . E' sicuro che il consenso al trattamento dei propri dati a fini promozionali non è tecnicamente necessario per l'esecuzione della prestazione dei servizi di posta elettronica o di motore di ricerca. Solo che (potrebbe osservarsi) la valutazione sarebbe ragionevole farla non in relazione al funzionamento della prestazione promessa, ma dell'operazione economica complessiva, in cui la prima è inserita: ebbene, tale operazione prevede esattamente lo scambio tra prestazione digitale e cessione del diritto sui dati. Quindi se questo è il regolamento negoziale (offerto, accettato e quindi) concordato, in fase esecutiva il consenso sui dati diventa necessario: tanto che la piattaforma in caso contrario può non prestare il servizio a suo carico (oppure, astrattamente ed ex ante, potrebbe anche prestarlo ma a fronte di corrispettivo monetario : il che però cambierebbe radicalmente il tipo di business). In altre parole, affermare che in tale caso il consenso non è libero, potrebbe sembrare inesatto: dire che non è necessitato dall'attuazione della controprestazione, implica considerare questa ultima isolatamente, prescindendo dall'operazione in cui è inserita. Il tenore dell'art. 7.4 del GDPR è ambiguo e non aiuta a chiarire, nonostante prendano invece posizione contraria a quanto qui ipotizzato le linee guida dell'European Data Protection Board .
Inoltre secondo il cons. 42, «il consenso non dovrebbe essere considerato liberamente espresso se l'interessato non è in grado di operare una scelta autenticamente libera o è nell'impossibilità di rifiutare o revocare il consenso senza subire pregiudizio». Qui, però, da un lato, parrebbe libero, poiché nessuno costringe l'utente ad aprirsi un account Fb ; dall'altro, non può ravvisarsi pregiudizio, visto che il servizio offerto non è in regime di monopolio né è servizio pubblico, per cui manca un obbligo a contrarre . Nemmeno si tratta di prestazione chiesta, assieme ad un'altra parallela (quasi fosse un tying concorrenzialmente abusivo) o solo apparentemente necessaria, ma in realtà evitabile dall'utente e/o evitabile solo con eccessivo sforzo : si tratta invece di un'offerta commerciale costruita con corrispettivo non monetario.
Così ragionando, dunque, pare inesatta la posizione di chi ravvisa un tying contract nell'accordo sulla cessione dei dati (a fini di profilazione) rispetto a quello sulla fornitura del servizio digitale : quasi fosse un accordo imposto dalla parte forte, distinto da quello principale chiesto dall'utente, secondo la nota figura di abuso di posizione dominante in antitrust, chiamata appunto tying (art. 102.2 lett. d) TFUE-art. 3 lett. d) legge 287/90) . Si tratta invece di un unico accordo, servizio digitale contro dati: mancando la pluralità di operazioni da legare, non può ravvisarsi pratica di tying. Tying ricorrebbe, qualora, per far nascere un rapporto "servizio contro denaro" (es. servizi bancari), il (futuro) debitore del servizio (es. la banca) chiedesse anche il consenso alla profilatura a fini di marketing .
In breve, dunque, potrebbe sostenersi che la tutela dell'utente contro lo strapotere delle piattaforme, senz'altro doverosa, non potesse percorrere questa via (almeno per ora) .
Su questa linea si può ricordare Cass. 02.07.2018 n. 17.278, secondo cui «il condizionamento non possa sempre e comunque essere dato per scontato e debba invece essere tanto più ritenuto sussistente, quanto più la prestazione offerta dal gestore del sito Internet sia ad un tempo infungibile ed irrinunciabile per l'interessato, il che non può certo dirsi accada nell'ipotesi di offerta di un generico servizio informativo del tipo di quello in discorso, giacche´ all'evidenza si tratta di informazioni agevolmente acquisibili per altra via, eventualmente attraverso siti a pagamento, se non attraverso il ricorso all'editoria cartacea, con la conseguenza che ben può rinunciarsi a detto servizio senza gravoso sacrificio» .
Ciò a meno di ravvisare la ratio della disposizione nell'intento di «porre un correttivo ad un problema attuale di concentrazione di potere in capo ad alcuni soggetti rispetto ad un potenziale controllo su una massa enorme di informazioni, che li pone in una condizione simile a quella occupata dalle organizzazioni statali» . E' lecito però pensare che, se a questo avesse mirato, il legislatore UE si sarebbe espresso diversamente; ma se così fosse, la tesi qui ipotizzata perderebbe persuasività.
Il vero problema su questo tema pare allora risiedere, da un lato, nella non diffusa consapevolezza dell'esistenza di un do ut des e dei suoi termini, occultati da complicate clausole di accettazione, che rendono di fatto oltremodo difficile comprendere l'esatto trattamento approvando , anche per l'enorme asimmetria informativa tra le parti, cui il GDPR pone limitato rimedio . Occultati anche dalla sapiente narrativa adottata dalle Big Tech (e da chi opera nel mondo del marketing), secondo cui è proprio per un maggior beneficio dei consumatori (per il loro empowerment) che si esigono sempre più «algorithmic manipulation and modulation of consumers' decision-making» . Dall'altro lato, nella scarsa (spesso: quasi nulla) fungibilità del servizio volta per volta considerato : senza di questo, l'utente si troverebbe spesso tagliato fuori dalle relazioni sociali (soprattutto i più giovani, naturalmente) , come ammesso dal BGH tedesco nella decisione cautelare relativa al procedimento antitrust a carico di Fb . Anche questo aspetto incide sul concetto di consenso "libero ed informato". Il timore ragionevole e significativo, di perdere o di non acquisire relazioni sociali significative, può costituire assenza di free choice, come ricorda il Consiglio di Europa: «No undue influence or pressure (which can be of an economic or other nature) whether direct or indirect, may be exercised on the data subject and consent should not be regarded as freely given where the data subject has no genuine or free choice or is unable to refuse or withdraw consent without prejudice» .
Ne segue che il c.d privacy paradox (la gente dice di tenere alla privacy ma poi cede spensieratamente i propri dati alle piattaforme e a vari venditori), da molti affermato, in realtà non è poi così paradossale: è invece agevolmente spiegabile, soprattutto con le difficoltà cognitive e l'insignificante potere di mercato che gravano sull'utente .
5. Il problema potrebbe porsi anche sotto altri profili: i) se esistano limiti alla disponibilità del diritto sui propri dati personali, e ii) qualora la disponibilità sia ammessa, quando il relativo consenso sia stato validamente prestato.
Sul secondo tema va ricordato (oltre al profilo della libertà, appena ricordato) che il GDPR prevede la specificità del consenso al trattamento e cioè la chiara distinguibilità da quello prestato ad altro scopo (art. 6.1.a-art.7.2). Ipotesi che probabilmente ricorre nel caso nostro, in cui il consenso riguarda il regolamento contrattuale, del quale la cessione del diritto sui dati è una porzione (o meglio, la sola prestazione a carico dell'utente). Se così è, sarà necessario un consenso specifico sul trattamento dei dati a fini promozionali, distinto non solo (probabilmente) da quello sull'operazione contrattuale nel suo complesso, ma anche da quello sul servizio acquisendo. Infatti, anche limitandosi al problema del consenso al trattamento dati, si tratta di due trattamenti distinti: uno per il funzionamento del servizio digitale cercato, l'altro per le finalità promozionali . Tesi seguita dal Consiglio di Stato laddove censura come pratica ingannevole la mancata distinzione, visto che « le informazioni fornite risultano generiche ed incomplete senza adeguatamente distinguere tra, da un lato, l'utilizzo dei dati funzionale alla personalizzazione del servizio con l'obiettivo di facilitare la socializzazione con altri utenti "consumatori", dall'altro, l'utilizzo dei dati per realizzare campagne pubblicitarie mirate. - A ciò si aggiunga, quale aggravante del comportamento significativamente ingannevole, che nell'uso di FB, le finalità commerciali si prestano ad essere confuse con le finalità sociali e culturali, tipiche di un social network; - infatti, nella pagina di registrazione a FB, a fronte del claim "Facebook ti aiuta a connetterti e rimanere in contatto con le persone della tua vita", rileva, dunque, l'assenza di un adeguato alert che informi gli utenti, con immediatezza ed efficacia, in merito alla centralità del valore commerciale dei propri dati rispetto al servizio di social network offerto, limitandosi FB a sottolineare come l'iscrizione sia gratuita per sempre » .
In questo senso va risolta la questione del se sia sufficiente o meno, come base giuridica per la liceità della profilazione, il consenso rilasciato per l'esecuzione del contratto. Nell'ipotesi qui prospettata, infatti, il diritto alla profilazione viene ceduto (o costituito) in capo alla piattaforma, che eroga il servizio digitale: per cui potrebbe dirsi che, costituendone la controprestazione, il consenso al contratto coprisse anche la fruizione della prestazione dell'utente da parte della piattaforma (art. 6.1.b GDPR). Alcuni hanno risposto negativamente. Si è infatti osservato che in tale scenario la disposizione vada interpretata restrittivamente, per cui il consenso ivi cit. coprirebbe solo l'esecuzione della prestazione "caratteristica" cioè quella scambiata col diritto a profilare: altrimenti basterebbe contrattualizzare un qualsiasi trattamento dati per fruire della base giuridica dell'art. 6.1.b GDPR citato . La risposta preferibile, invece, è che sia bensì necessario un consenso distinto per la profilazione, la cui ragione però riposa sulla prescrizione di "specificità".
Allo scopo, è da vedere se sia sufficiente inserirlo nelle clausole sottoposte a doppia firma (ex art. 1341 cc): e non è detto che la risposta sia positiva.
Le sentenze europee sul punto della validità del consenso paiono essere soprattutto due: - CGUE 01.10.2019, C-673/17, Bundesverband der Verbraucherzentralen und Verbraucherverba?nde - Verbraucherzentrale Bundesverband eV contro Planet49 GmbH; - CGUE 11.11.2020, C-61/19, Orange Roma?nia SA contro ANSPDCP (cit.), che si occupa anche dell'onere della prova relativo .
Sul primo tema (se esistano limiti alla disponibilità del diritto sui propri dati), al momento parrebbe esatto ritenere che la disponibilità fosse ammessa dall'ordinamento in limiti piuttosto ampi. Non mi sembrano però utilizzabili in tale senso gli accenni alla libera circolazione dei dati presente nel GDPR . Si tratta bensì di interesse decisamente rilevante nell'ambito del reg. medesimo : però, da un lato, costituiscono affermazione generica, e, dall'altro, non precisano il titolo giuridico di tale circolazione (da soggetto a soggetto, parrebbe), limitandosi a menzionarla come fatto oggettivo socialmente desiderabile .
E' difficile sostenere che l'effetto di forza legge del contratto (art. 1372 cc) prevalga sempre sulla disciplina specifica della data protection, ad es. circa i limiti di revocabilità del prestato consenso al trattamento . Servirà allora un coordinamento tra l'esercizio del diritto di revoca/recesso e l'esecuzione dell'operazione contrattuale concordata: che probabilmente comporterà una sospensione (disattivazione) del servizio digitale fruito fino al quel momento. Si tratterà di una caso di recesso ex lege (art. 1372 c.1 cit.) o quantomeno di sospensione dell'esecuzione (il c.c. ne menziona alcuni casi) . Potrebbe anche esplorarsi la via della risoluzione per impossibilità sopravvenuta, a seguito della revoca del consenso: si tratta di via alternativa a quella proposta qui, secondo cui la revoca al consenso vale recesso ex lege nel rapporto contrattuale .
La cennata sinallagmaticità porta alla conseguenza per cui il dovere di liceità del trattamento rientra tra gli obblighi contrattuali a carico della piattaforma . La sua violazione dunque costituirà inadempimento contrattuale, con gli effetti conseguenti: al pari di qualunque facoltà pattiziamente concessa, che importi ingresso nella sfera della controparte, la quale non potrà esercitarsi oltre i limiti legali o pattizi posti a tale ingresso (o meglio, posti per il suo esercizio) . Anche le regola, posta autoritativamente ad integrazione della pattuizione privata, infatti, concorre a comporre il complessivo regolamento del rapporto contrattuale (art. 1374 c.c.): per cui la sua violazione è appunto violazione di obbligo e non fatto illecito .
Così pure il vizio nel consenso al trattamento, rendendo questo illecito e quindi non più fruibile la prestazione da parte della piattaforma, permetterà a quest'ultima di svincolarsi dal contratto: da vedere se per il medio di vizio genetico (annullamento per errore?) o difetto funzionale (una delle tre risoluzioni), impregiudicata la questione di eventuali danni cagionati dall'utente o all'utente . Tra due parti di paragonabile forza economica, si rimedierebbe velocemente, integrando il consenso con le dichiarazioni mancanti: è assai dubbio invece che ciò possa avvenire nei rapporti massivi con le piattaforme digitali.
Il tema della conciliazione tra la disciplina da protezione dei dati e quella contrattual-consumeristica meriterà esame approfondito .
La guida fornita dall'incidenza del diritto morale di autore su quello patrimoniale potrebbe a prima vista essere utile. A meglio pensare, però, la risposta potrebbe cambiare: i limiti, posti dagli art. 20-22 e 142 l. aut., parrebbero di difficile applicazione alla data protection, i cui diritti dovrebbero essere incomprimibili . Ma il dubbio è lecito: potrebbe ad es. prevalere un orientamento, volto a dare giuridica dignità alla commerciabilità quasi piena dei dati, magari con poche limitazioni di fonte pretoria .
6. Andrebbero indagati poi ulteriori profili discendenti dalla contrattualità (consumeristica): ad es. quelli inerenti l'informativa precontrattuale ex art. 49 c. cons. (soprattutto circa il prezzo, lett. e), ed ex art. 51 c.2 c. cons. Qui il problema è capire se nel concetto di «prezzo» rientri pure il corrispettivo non monetario de quo: parrebbe di no, alla luce del cit. art. 3 dir .770/2019, che distingue nettamente il corrispettivo come prezzo (§ 1) dal corrispettivo consistente in dati personali (§ 2). E in effetti tale è la scelta fatta dall'eurolegislatore con la dir. 2019/2161, che ha dovuto aggiungere un § 1 bis all'art. 3 della dir. 2011/83 (fonte del cit. art. 49 cod. cons.), da recepire entro il 28.05.2022 (art. 7).
Oppure si potrebbe approfondire il profilo del se tale condotta, laddove oscura la contrattualità nel senso di sinallagmaticità, costituisse pratica commerciale sleale ingannatoria, se non addirittura aggressiva .
Un cenno ora al recesso. Il diritto di recesso di Facebook (cioè di chiudere l'account) è regolato dalla legge o da contratto. il giudice (§ 4.2) ricorda i casi in cui, secondo le condizioni d'uso, Fb può adottare le cosiddette sanzioni che, in un crescendo di gravità, arrivano alla disabilitazione dell'account come massimo.
Nel caso specifico non è stato invece addotto alcun motivo per la disabilitazione e cancellazione dei dati, tra quelli previsti nelle terms of service . Tali non sono stati ritenuti i due addotti in causa: - pretesa indeterminatezza della domanda per l'impossibilità di individuare l'account riferibile all'utente; - l'allegazione di impossibilità di motivare, avendo distrutto il materiale.
Il giudice al § 5.1 rigetta il primo motivo e condivisibilmente: che Facebook non riesca a individuare l'account, pur avendo nome cognome e altri dati molto singolari relativi al collezionismo di materiali militari, è ben poco credibile.
Tantomeno è valida la seconda ragione addotta, relativa alla distruzione del materiale caricato on-line: questa non è una ragione, ma una tautologia. Nemmeno lo è la precisazione, che ciò sarebbe avvenuto per la negligenza del ricorrente, che ha aspettato troppo (oltre sette mesi, secondo Fb) prima di iniziare il procedimento. Il giudice qui ha buon gioco nel replicare che, a parte non essere esatti i riferimenti temporali, Fb avrebbe dovuto quantomeno conservare i dati per il tempo di prescrizione. In ogni caso Fb si contraddice, in quanto la dichiarazione di aver distrutto i dati era ben anteriore ai sette mesi allegati . Soprattutto, alla luce delle enormi capacità di storage di Fb e in mancanza di pattuizione sul punto, l'affermazione di Fb è, da un lato, effettivamente non credibile (se non palesemente insincera), e, dall'altro, giuridicamente fuori bersaglio.
7. La distruzione della documentazione, vero punto nevralgico della lite, secondo il giudice costituisce inadempimento contrattuale, intenzionalmente mirante a provocare danno ingiusto (§ 5.2). Che vi fosse un'obbligazione di mantenere il profilo e il materiale ivi presente, è certo: il giudice lo afferma ma non riporta la pattuizione, anche se in ogni caso ne discenderebbe da interpretazione secondo buona fede . Il dovere di "mantenimento" riguarda la conservazione sia durante la piena operatività del rapporto, sia nelle sue fasi anomale e cioè nel caso Facebook optasse per la disconnessione o a maggior ragione per la sospensione temporanea (la quale potrebbe costituire un'applicazione della regola inadimplenti non est adimplendum, se a fronte di violazione dell'utente). Può non essere chiarissimo quando il contratto sia tecnicamente risolto, potendoci essere una disabilitazione non definitiva o comunque una gradualità nella riduzione della prestazione: ma quando fosse invece definitiva, il rapporto contrattuale dovrebbe intendersi giuridicamente risolto.
Anzi, tale dovere di "mantenimento" esiste qualunque sia la causa risolutiva.
A quel punto sorgerebbe l'obbligo restitutorio, anche esso governato dalla buona fede , a prescindere dalla sua ricostruzione teorica . Restituzione che, in materia di un servizio digitale di questo tipo, potrebbe dirsi consistere nel dare il tempo all'utente di fare copia dei dati memorizzati e probabilmente anche di metterli a disposizione per il download in un formato fruibile presso analoghe piattaforme (anche per ragioni proconcorrenziali , probabilmente, cui è sensibile l'interpretazione di qualunque ramo dell'ordinamento giuridico e quindi anche di quello civilistico, dopo il nostro inserimento nel contesto europeo ). Anzi, ha il diritto di farli trasmettere presso altre piattaforme: la disposizione è chiara .
Al limite, Fb avrebbe potuto limitarsi ad oscurare il profilo per i terzi, conservandolo visibile solo per l'utente (c.d. shadowbanning) o comunque ad adottare un rimedio meno drastico . La distruzione invece è difficilmente spiegabile, anche in relazione alla lettura "ritorsiva" dell'attore, legata -parrebbe- solo ad una precedente diffida stragiudiziale di costui quale legale di parte (v. poco dopo) .
Il giudice osserva che, «vertendosi in materia di responsabilità contrattuale ed essendo certa l'avvenuta cessazione della prestazione, dunque l'inadempimento della resistente, incombeva sulla stessa l'onere di provare l'impossibilità sopravvenuta a lei non imputabile oppure la legittimità del proprio recesso. In carenza di qualsiasi allegazione e prova di qualsiasi causa giustificativa, contrattualmente prevista, e in manifesta inottemperanza agli obblighi informativi, la fattispecie va inquadrata dunque come inadempimento della resistente rispetto all'obbligazione assunta di mantenere il profilo e la pagina Facebook. È accertato, dunque, che la resistente si sia resa oggettivamente inadempiente, senza che quest'ultima nel corso del giudizio abbia provato ai sensi dell'art. 1218 c.c. che tale inadempimento sia stato dovuto a una causa oggettiva a lei non imputabile o abbia allegato e dimostrato una motivata causa di recesso o di risoluzione del contratto, sicché è provata la responsabilità contrattuale della resistente. ».
Qui in realtà va osservato che, anche vi fosse un motivo legittimo di recesso, questo non avrebbe giustificato la distruzione dei dati, come appena sopra suggerito: effetto discendente sempre dalla buona fede in executivis, faro che illumina oscurità e/o lacune contenutistiche del regolamento . Se comportarsi secondo buona fede significa nella sua accezione fondamentale comportarsi "secondo correttezza e lealtà" e cioè che su ciascuna parte grava innanzitutto «un obbligo di assicurare l'utilità dell'altra nella misura in cui ciò non comporti un apprezzabile sacrificio a proprio carico» (una sorta di dovere di reciproca solidarietà) ; se questo è esatto, allora non c'è dubbio che Fb era titolare di un dovere di data retention, come sopra accennato.
Inoltre è provata non la responsabilità, la quale significa soggezione al rimedio risarcitorio, ma semmai la violazione del contratto: la responsabilità ricorre solo nel caso di prova di danni causalmente connessi alla violazione.
Al § 6 il giudice, circa la ragione della distruzione in modo irrecuperabile del materiale e del profilo, accoglie la tesi attorea. Secondo questa, si tratterebbe di ritorsione di Fb per aver egli, da avvocato, in precedenza intimato alla stessa Fb la riattivazione di account per conto di altro utente cui pure era stato chiuso.
Secondo il giudice, tale motivazione non sarebbe mai stata contestata specificamente da Fb, per cui ex 115 c.p.c. deve assumersi provata. E' condivisibile la precisazione del modus operandi generale dell'art. 115 c.p.c. , meno invece l'applicazione al caso de quo. La disposizione invero si riferisce ad allegazioni di «fatti»: qui invece non ricorrono fatti, ma un giudizio intorno alla ragione della condotta tenuta da Fb, per cui la disposizione non dovrebbe avere spazio applicativo. Si sarebbe magari dovuto tentare di arrivare al medesimo risultato, applicando una presunzione, potendosi forse ravvisare gravità precisione e concordanza: ma si sarebbe potuto opporre che anche la presunzione è un mezzo logico per arrivare alla prova di fatti e in particolare di fatti ignoti, inferendoli da fatti noti.
Non è chiarissima la rilevanza processuale di questa parte dell'iter motivatorio (ritorsione di Fb): potrebbe ad es. essere servita come base per ravvisare il dolo (ad es. ai fini del risarcimento del danno non prevedibile 1225 cc) o per la condanna ex art. 96 c. 3 c.p.c. (ciò che in effetti poi si legge in sentenza).
8. Il giudice, poi, passando alla questione del danno non patrimoniale, ricorda è che risarcibile nel caso di violazione di diritti con dignità costituzionale, anche se avvenuta tramite inadempimento di un obbligo, anziché commettendo un illecito aquiliano (§ 7, p. 9). Si tratta in effetti di un insegnamento ormai acquisito . Giustamente, poi, ne afferma la ricorrenza nel caso de quo.
Altrettanto giustamente rigetta l'argomento di Facebook, secondo cui l'utente, se avesse tenuto realmente alla conservazione delle memorie, avrebbe potuto utilizzare la funzione «scarica le tue informazioni». Infatti non può ravvisarsi concorso di colpa, dal momento che non figura nelle condizioni di contratto alcun avvertimento il tal senso. Anche vi fosse stato, poi, un'esecuzione secondo buona fede, che tenesse conto della disparità di asimmetria informativa e di forza economico/organizzativa tra le parti, avrebbe imposto che comunque vi fosse un preavviso da parte della piattaforma . Il giudice ritiene che la protrazione nel tempo (circa dieci anni) dell'attività sul social da parte dell'attore ha prodotto una mole di dati tale, per cui la loro perdita ne ha danneggiato in modo grave e irreparabile la vita di relazione (§ 7, p. 10).
Non è di ostacolo la questione della prevedibilità (da riferire al momento in cui il debitore ha scelto di non adempiere, a dispetto del tenore dell'art.1225 cc ), poiché, come detto sopra, qui ricorreva il dolo, essendoci la consapevolezza di ledere l'altrui diritto (art. 1225 cc) . A parte ciò, si tratta di danni ampiamente prevedibili al momento in cui Fb pose in essere l'inadempimento: da un lato, infatti, Fb sapeva cosa stava memorizzato nei propri server in relazione all'utente de quo e, dall'altro, il danno "relazionale" è agevolmente prevedibile per una piattaforma che ha fatto dell'interconnessione tra le persone la sua headline pubblicitaria. La connessione tra utenti, del resto, rientra tra i primari interessi dedotti in contratto che la piattaforma non può ledere, sicchè tutta la vita del rapporto giuridico dovrà tenerne conto : le note differenze socio-culturali tra civiltà occidentali (più individualiste) e orientali (più inclini ad una visione olistica) , che astrattamente potrebbero portare ad una soluzione opposta, vengono poi in concreto (ed in parte qua) ridotte dall'importanza che anche nelle prime (o almeno nel nostro ordinamento) assume la dimensione relazionale del rapporto giuridico sub iudice per l'operare di precise regole giuridiche .
Si potrebbe poi discutere se l'art. 1225 andasse applicato anche al danno non patrimoniale, come parrebbe; così del resto ritiene l'ordinanza qui esaminata .
E' piuttosto interessante l'affermazione, secondo cui, pur essendo in generale l'attore gravato di provare il danno, l'onere va invertito nel caso de quo per il principio della vicinanza alla prova: la distruzione dei dati per la decisione di Fb di impedirne la produzione in giudizio , infatti, ha reso impossibile l'attività probatoria dell'attore. E' interessante, poiché normalmente il criterio della vicinanza alla prova è adoperato per interpretare l'art. 2697 cc e cioè per dirimere la questione della corretta distribuzione dei fatti di causa tra i fatti costitutivi oppure impeditivi/modificativi/estintivi. Secondo il giudice, invece, è pacifico che l'allegazione e prova del danno cagionato riguardi un fatto costitutivo, il cui onere incombe sull'attore. Egli sceglie però di disapplicare tale regola per applicarne una diversa, eccezionale, verosimilmente sulla base di un'applicazione diretta del diritto di difesa sancito dalla carta costituzionale (art. 24 Cost.). Pare allora trattarsi in sostanza di una norma pretoria sul riparto probatorio, creata ex novo (non potendosi ritenerla applicazione dell'art. 2697 cc), che potrebbe formularsi così: «il contraente, che ha reso impossibile all'altro contraente la prova del danno subito, distruggendone le cose o i documenti in proprio possesso, ha l'onere di provare l'assenza del danno allegato dal secondo».
L'interesse allora, se ciò è esatto, sta nel fatto che applica una norma costituzionale (l'art. 24 Cost. appunto) in via diretta, anziché semplicemente per il medio della legge ordinaria tramite una sua interpretazione costituzionalmente orientata oppure tramite un opportuno governo delle clausole generali. L'operazione ermeneutica, pur partendo da un'esigenza condivisibile, suscita perplessità: sarebbe stato forse più lineare arrivare al medesimo risultato liquidatorio semplicemente applicando la determinazione equitativa permessa dall'art. 1226 c.c., senza modificare l'onere probatorio sottostante (lasciandolo cioè a carico dell'attore) .
La liquidazione si concretizza in una condanna al pagamento di euro 10.000 + 2.000 + 2.000 determinati in via equitativa, «non avendo la resistente prodotto alcun elemento a sostegno di un ridotto utilizzo del profilo personale e delle due pagine, e avendo il ricorrente allegato un utilizzo assai intenso degli stessi».
In una altra fattispecie (analoga in parte qua), nella quale non è più possibile la prova del danno (patrimoniale) cagionato per la mancanza -evidentemente cagionata dal debitore- dei documenti pertinenti, il legislatore ha ordinato la determinazione del danno con criterio sostanzialmente punitivo. Certo punitivo sotto il profilo privatistico e non criminale, ma pur sempre punitivo, non svolgendo né una funzione compensativo-risarcitoria né una restitutoria. Si tratta del nuovo terzo comma dell'articolo 2486 codice civile, ult. parte, in tema di responsabilità degli amministratori in fase concorsuale . Secondo tale disposizione, quando per mancanza di scritture contabili o per altra ragione, i netti patrimoniali pertinenti (del momento di cessazione dalla carica e del verificarsi della causa di scioglimento) non possono essere determinati, si applica il criterio "grezzo" della differenza tra attivo e passivo.
La somiglianza tra i due casi sta nel fatto che il convenuto ha distrutto o fatto sparire i documenti che avrebbero potuto servire ad accertare con una certa precisine la sua responsabilità. La differenza (oltre alla non patrimonialità) , invece, sta nel fatto che nel caso della responsabilità degli amministratori non si può parlare di determinazione equitativa, parendo dogmaticamente esatto ravvisare una sanzione/punizione. Nel caso de quo, invece, si rimane nell'ambito compensatorio, anche se la stima poi avviene secondo equità .
9. Pure interessante è la decisione sulla domanda di adempimento contrattuale, assistita da penale per il ritardo (verosimilmente ex art. 614 bis c.p.c.). La domanda è rigettata, stante l'impossibilità dichiarata da Fb di procedere al ripristino (ciò in cui sarebbe consistito l'adempimento predetto). Tale impossibilità è stata ritenuta processualmente provata (anche qui) per l'operare del meccanismo della non contestazione ex art. 115 cpc: avendola il resistente allegata, toccava al ricorrente contestarla in modo specifico.
Non pare però un'applicazione corretta della disposizione citata. La parte, contro cui sono allegati certi fatti, ha l'onere di contestarli in modo specifico solo quando rientrano nel suo dominio: non si può invece onerarla di contestare fatti, che fuoriescono da esso, dal momento che ad impossibilia nemo tenetur.
È un interessante portato dell'innovazione tecnologica. L'allegazione di irrecuperabilità dei dati, effettuata da una parte, viene data per buona (cioè ritenuto fatto processualmente provato): sicché il rimedio contrattuale dell'adempimento (e relativa penale) viene escluso sulla sola base di tale allegazione, con la conseguenza di dover optare per quello risarcitorio . Sarebbe in effetti stato probabilmente irragionevole accogliere la domanda di adempimento e farla assistere dal comando della penale: o meglio così sarebbe stato solo dopo un'allegazione provata da parte di Fb in tale senso, mentre sembra di capire che non vi sia stata alcuna prova (se non il citato meccanismo di non contestazione , che però -come detto- non pare applicabile).
10. Data la (possiamo dirlo, credo) "odiosità" della condotta di Fb, consistente nella distruzione immotivata o peggio ancora ritorsiva dei dati dell'attore ospitati nei propri server , ed inoltre data l'abusiva e ostruttiva condotta processuale, il giudice ritiene di condannare la società all'esborso previsto dall'articolo 96 c. 3 nella (frequente) misura di un multiplo delle spese di lite e precisamente nel loro triplo .
L'interpretazione di tale disposizione costituisce tema complesso, qui non affrontabile, per cui mi limito a qualche rapido cenno. È corretto richiedere che le strategie difensive abusive siano state poste in essere con malafede, nonostante l'articolo 96 c. 3 non menzioni l'elemento soggettivo ed anzi non menzioni praticamente alcun criterio per delimitare il proprio ambito applicativo. La norma tuttavia è a forte rischio di incostituzionalità, trattandosi di pena privata, che non rispetta il principio costituzionale di determinatezza e tipicità, cui deve sottostare la disposizione penale , oppure non rispettando la riserva di legge posta dall'art. 23 Cost. . E' ragionevole pensare ad una sua applicazione non tanto al caso di semplice esito sfavorevole del processo, quanto al suo prolungamento eccessivo: ciò in cui consiste l'abuso di attività istruttorie processuale, determinato dalla condotta della parte.
Ricorre dunque una svista, quando il giudice usa l'espressione «determinare il danno in via equitativa» a proposito dell'articolo 96 c. 3 c.p.c. La somma, a cui è tale disposizione fa riferimento, non viene irrogata a titolo di risarcimento di un danno, bensì a titolo di sanzione e cioè a fini pubblicistici (pur se a beneficio di parte ). Come accennato già sopra, infatti, costituisce una sanzione, dal momento che è scollegata dal criterio risarcitorio, e ciò anche se mira a fini non solo pubblicistici, come potrebbe pensarsi, ma anche privatistici. E' cioè finalizzata sia a scoraggiare l'intasamento delle Corti con liti pretestuose, sia il fastidio arrecato ai privati con pretese o modalità difensive inappropriate, quando non si riesca a utilizzare a scopo dissuasivo lo strumento del risarcimento del danno .
In chiusura, l'odiosità della condotta porta a chiedersi se non vi fossero altre sanzioni per la stessa (amministrative o penali). Non può trattarsi di un'imputazione artificiosa dello stato delle cose, di cui alla frode processuale articolo 374, mancando soprattutto l'elemento soggettivo dello scopo frodatorio. Certamente però integra un trattamento dati (tale essendo la distruzione ) non consentito: per cui bisognerà indagarne l'assoggettabilità a sanzione amministrativa (art. 166 c. priv.) e/o penale (artt. 167 c-. priv.). Potrebbe anche ricorrere la violazione dell'art. 635 bis c.p. "danneggiamento di informazioni, dati e programmi informatici", magari aggravato dall'abuso della qualità di operatore del sistema, di cui al c.2.
SOMMARIO: 1. I fatti. Giurisdizione e legge applicabile. - 2. La qualita' di consumatore. - 3. Il tipo di rapporto giuridico. - 4. Il consenso al trattamento dei dati. - 5. La disponibilita' del diritto sui propri dati personali - 6. Il recesso e altre conseguenze della contrattualita. - 7. La distruzione dei documenti (cancellazione dei dati). - 8. Risarcimento del danno. - 9. La domanda (rigettata) di adempimento contrattuale. - 10. Condanna equitativa ex art. 96 c.3 c.p.c. Ulteriori sanzioni possibili per la cancellazione dei dati?
1. In una recente ed interessante ordinanza ex art. 702 ter cpc il Tribunale di Bologna ha deciso una fattispecie un po' particolare inerente al rapporto tra piattaforma e utente. La stessa ha dunque costituito l'occasione per le riflessioni contenute nel presente scritto.
Un utente Facebook (poi anche: Fb) gestiva su tale piattaforma da dieci anni un profilo a nome proprio, collegandovi due pagine relative a libri, riviste, storie e altri cimeli militari. Fb improvvisamente gli chiuse l'account il 2 gennaio 2020, senza spiegazione. A dire del ricorrente, la ragione consistette in una ritorsione per avere egli, quale avvocato e per conto di un cliente, venti giorni prima diffidato Fb stessa a riaprire l'account del cliente: Fb gliela avrebbe allora fatta pagare, chiudendo pure a lui l'account. A quel punto il ricorrente citò Fb in giudizio, chiedendone la condanna al ripristino del profilo e delle pagine collegate nonché una penale per ogni giorno di ritardo, oltre al risarcimento dei danni.
Il colosso di Menlo Park si costituisce, eccependo (a parte la carenza di legittimazione passiva: Facebook Italia anziché Ireland), da un lato, l'impossibilità di individuare il profilo e le pagine indicati, visto che non era stata indicata la u.r.l.; dall'altro, di aver sì reperito un account legato ad una certa casella email, ma che il relativo materiale era stato distrutto in via definitiva, in modo da non poter dedurre nulla sulle ragioni di tale rimozione.
Il giudice affronta dapprima la questione della giurisdizione, strumentale alla quale c'è la questione del se si trattasse di rapporto giuridico con un consumatore (come accennato, l'utente-attore nella propria vita lavorativa faceva l'avvocato). La strumentalità deriva dal fatto che l'eventuale proroga di giurisdizione (patto sulla giurisdizione) è nulla, laddove riduca la tutela offerta ai consumatori, inderogabile. Ed in effetti le clausole generali, proposte/imposte da Facebook, prevedono una proroga di giurisdizione a favore del giudice irlandese. Il giudice forse (ma non viene detto apertis verbis), una volta accolta la qualificazione di consumatore, avrà applicato l'articolo 18 c. 1 del reg. 1215/2012, che permette al consumatore la scelta del proprio foro.
La clausola di proroga, pur non espressamente prevista nell'elenco dell'art. 33 cod. cons. , parrebbe vietata. Ciò si potrebbe conseguire, opportunamente interpretando il concetto di «deroga alla competenza dell'autorità giudiziaria» (in prima battuta riferita alla scelta dell'arbitrato) come se fosse «deroga alla competenza dell'autorità giudiziaria italiana»: interpretazione coerente con la tutela consumeristica ed anzi imposta dal fatto che la proroga a favore di giudice estero è più gravosa di un processo arbitrale in Italia. Sempre ragionando a maiori ad minus, se è vietata la deroga alla competenza territoriale, non può che essere vietato lo spostamento della giurisdizione all'estero. La dottrina è concorde .
E' curioso che in causa sia stata affrontata la questione della giurisdizione, ma non quella della legge applicabile, pur essendo un rapporto caratterizzato da elementi di internazionalità. Nell'Unione europea dovrebbe operare il reg. 593/2008 sulla legge applicabile alle obbligazioni contrattuali (Roma I), il cui art. 6 c.1 prevede la legge del paese ove il consumatore ha la residenza abituale .
Anche la recente dir. 770 del 2019, relativa a determinati aspetti dei contratti di fornitura di contenuto digitale e di servizi digitali e destinata ad essere applicata dal 1° gennaio 2022, fa salvi i predetti reg. 593/2008 e reg. 1215/2012 .
2. Il giudice esclude che dal materiale, verosimilmente messo on-line, si possa ravvisare un uso c.d. promiscuo . Con ciò lascia intendere che, se invece questo fosse stato ravvisato, non avrebbe potuto considerarlo consumatore: con le conseguenze in punto di giurisdizione.
Il giudice dà quindi per scontata la conseguenza, secondo cui, nel caso di uso promiscuo, non possa applicarsi la disciplina consumeristica. Dato il tenore letterale del regolamento cit., come anche del nostro art. 3 lettera a) cod. cons., la conclusione è probabilmente giusta; tuttavia non dà atto dell'esistenza di opinioni diverse . Del resto la disposizione sarebbe probabilmente eludibile senza particolari difficoltà da parte del professionista, solo che questi aggiungesse ad arte un tocco di vita privata (in vario modo: ad es. con opportune dichiarazioni verbali o scritte) all'atto dell'acquisto di un bene o servizio per la propria impresa. L'uso promiscuo, dunque, non è tutelato dalla normativa consumeristica (probabilmente, a meno che la componente professionale sia marginale : solo che è difficile dire quando ciò ricorra e comunque andrebbe interpretato restrittivamente).
Una volta allegata e provata la qualità di consumatore, per il giudice spettava a controparte provare la qualità professionale (p.3). Il che è sostanzialmente esatto, costituendo piana applicazione dell'art. 2697 cc. Tuttavia, più che di prova raggiunta da "smontare" da parte del convenuto provando la qualità professionale, sarebbe stato meglio parlare di allegazione e prova di fatti potenzialmente decisivi: cui controparte avrebbe eventualmente potuto (avrebbe avuto l'onere di) contrapporre fatti modificativi/estintivi/impeditivi, che inducessero a ravvisare la qualità professionale o meglio ad escludere quella consumeristica . Il giudizio di "prova raggiunta" spetta solo al giudice in sentenza, ad istruttoria conclusa. In sostanza il resistente (Fb) avrebbe dovuto contrapporre altri fatti, tali da modificare (prospetticamente) il probabile giudizio in sentenza.
E' in ogni caso esatta la considerazione, secondo cui il solo gestire un profilo Fb vantaggioso per la sua immagine pubblica, non significa che quel sito o quella pagina o quella account vadano ritenuti strumento dell'attività professionale. Vale la pena di riportare il passaggio per esteso: «ammettere in modo del tutto generico che la frequentazione di luoghi, reali o virtuali, in cui si svolge la propria vita di relazione, contribuisce alla affermazione della propria immagine e identità personale e, dunque, (anche) professionale, non significa, in buona sostanza, ammettere uno specifico uso promiscuo del mezzo. È evidente come ogni utente del social network utilizzi il proprio profilo al fine di promuovere le proprie relazioni sociali, ben oltre quelle promuovibili attraverso contatti strettamente personali, sicché vi è sempre un'evidente ricaduta in ogni sfera della personalità e della vita di relazione e, dunque, anche sul piano dell'immagine e delle relazioni professionali In buona sostanza e in conclusione, la circostanza che parte degli utenti di Facebook svolga una parte della propria vita di relazione sul social network e tragga dunque vantaggio dai propri profili anche per attività di natura professionale, non rende, di per sé e in carenza di qualsiasi evidenzia istruttoria, il loro contratto Facebook di natura professionale o promiscuo.. Non è dunque dimostrato, in alcun modo, che lo stesso abbia utilizzato il proprio profilo personale e le pagine ad esso connesse in funzione della propria attività professionale, neppure mediante un utilizzo meramente promiscuo, sicché si tratta certamente di consumatore.[in realtà l'ordine è invertito poiché questo periodo è precedente]». Il punto è importante, poiché riguarda una situazione fattuale probabilmente diffusa ed inoltre obiettivamente non chiara.
3. Il giudice passa poi esaminare il merito e cioè il tipo di rapporto tra le parti. Egli ravvisa un contratto (§ 4), ciò che -alla luce della definizione di cui il 1321 cc.- è corretto. A dir il vero, inizialmente parla di obbligazioni a carico di una parte e dell'altra, senza connetterle nel sinallagma contrattuale: con possibili incertezze per l'assenza di una conclusione chiara di esistenza di contratto ex art. 1321 ss cc, . Tale conclusione viene però affermata nel prosieguo . Sarebbe interessante indagare le condizioni predisposte da Facebook per vedere se parlano di contratto: probabilmente no, visto che secondo il giudice (riferendosi alle condizioni generali, come parrebbe dal virgolettato) parlano di "iscrizione" a servizi on-line per entrare in contatto con gli altri utenti del mondo. Il servizio fornito da Fb, dice il giudice, è "a titolo gratuito", anche se subito dopo aggiunge che Fb trae «comunque vantaggio economico dalle inserzioni pubblicitarie, anche mediante l'utilizzo di dati personali degli utenti che consentono di offrire ai terzi spazi pubblicitari calibrati sugli specifici interessi dei loro destinatari».
Nel cit. passaggio l'affermazione di gratuità non è esatta . Non solo non si tratta di prestazione liberale, ma nemmeno di prestazione gratuita: infatti la cessione del diritto sui propri dati è necessaria per accedere al servizio e quindi ne rappresenta il corrispettivo chiesto da Fb. Di solito si parla di atto "gratuito" non solo quando non è accompagnato da controimpegno, nemmeno a titolo di condizione , ma anche -in contrapposizione a "liberale"- quando si tratta di atto interessato (sotto il profilo economico o meno) . Qui invece l'impegno di Fb, da una parte, e la cessione di diritti da parte dell'utente sui propri dati (lasciamo da parte l'esatta qualificazione di questo atto dispositivo) , dall'altra, stanno in reciproco rapporto sinallagmatico: per cui, trattandosi di prestazioni a contenuto patrimoniale, il rapporto generato è inquadrabile appunto come contratto. Si potrebbe osservare che il diritto sui dati ha natura patrimoniale per Fb, non per l'utente ; ma in realtà lo ha anche per l'utente, dal momento che la proposta di Fb, riflettente il valore da essa attribuito ai dati, viene accettata dall'utente, per cui si realizza un accordo di volontà sul punto.
L'utente insomma prende atto del valore di mercato dei propri dati e aderisce all'offerta (al pubblico: art. 1336 cc) che lo esplicita, offrendogli in cambio un servizio digitale . Allo stesso modo di chi sfrutta il diritto di autore o di immagine o al nome, ove pure la natura personalissima del diritto non riesce ad occultare il suo profilo patrimoniale .
Anzi è stato osservato che non solo i dati, ma anche il tempo e l'attenzione possono considerarsi corrispettivo del servizio reso da Fb. Così ha infatti osservato l'Autorità per la Concorrenza tedesca nella nota e ponderosa decisione del 2019: «The user remains a customer, even if the service is available for free. In this respect, time or attention and the data the users enter replace the fee and can be seen as a compensation for the service. This applies in particular to ad-funded services, which offer their users' time, attention and data to advertisers in return for revenues. Ultimately, advertising markets are "markets for time" which consider the users' time and attention to be a product» . La dottrina ha esplorato le conseguenze del valore attribuito all'attenzione dell'utente, proponendo rimedi contro l'abuso del potere di mercato, ravvisabile nelle pratiche manipolative (così spesso adoperate dalle piattaforme) . L'inganno del resto non è casuale o saltuario, tutt'altro: "when deception of consumers is profitable, business communications and conduct designed by algorithms optimized only for profit will inevitably engage in deception" . Anche se da sempre, si badi, i pubblicitari cercano di fare leva sulle insoddisfazioni degli individui .
In breve, visto che proposta e accettazione combaciano e sono reciprocamente connesse, anche il requisito dell'accordo è soddisfatto : ricorre infatti il c.d. sinallagma genetico . Non c'è bisogno di precisare che questo tipo di scambio è verosimilmente alla base di tutti i servizi digitali fruibili senza corrispettivo monetario . Non tutti sanno, poi, che esiste un commercio secondario dei dati: l'acquirente primario a sua volta li mette spesso a disposizione di terzi con vere e proprie operazioni di compravendita (esistono i c.d. data broker come ad es. Acxiom, CoreLogic o Epsilon, quasi sconosciuti alla massa degli utenti , i quali talora li raccolgono anche in proprio, ad es. direttamente dai pubblici registri o da siti web con la tecnica del c.d. scraping ); oppure li usa mettendo ad asta fra inserzionisti gli spazi pubblicitari digitali e/o tramite APIs (application programming interfaces) per l'accesso dei venditori terzi ai profili Fb . Oppure che esistono collaborazioni nel settore: il gigante tecnologico può ad es. offrire un servizio di third party tracking a favore di una moltitudine di siti web e/o apps (first parties), affinchè possano rilevare statisticamente l'efficacia della propria presenza commerciale online . Prassi imprenditoriali, la cui conoscenza dovrebbe rientrare nella formazione dei giuristi di oggi per una corretta trattazione delle pratiche loro affidate: il grosso dei traffici giuridici, infatti, avviene con queste modalità .
In ogni caso, quando il consenso è espresso (anche tramite click o accettazione "per spunta" di casella), non dovrebbero esserci dubbi sulla qualifica contrattuale del rapporto emergente .
Il giudice si esprime in termini di "autorizzazione" circa l'utilizzo dei dati. Si tratta di concetto civilistico con un significato preciso. La sua utilità -se non addirittura legittimità- di uso, tuttavia, è assai dubbia , per cui sarebbe probabilmente più lineare limitarsi a parlare di "consenso" . Proprio in tema di data protection è stata proposta la tesi dello sdoppiamento dell'atto del consenso latamente inteso: uno scriminante l'ingresso nella propria sfera e l'altro permettente la circolazione dei dati relativi . Si tratta però di una distinzione di scarsa aderenza alla prassi e dunque di scarsa utilità, dato che allora potrebbe venir replicata per qualsiasi attività altrui sui propri beni materiali (es.: riparazione di un impianto idraulico in casa): non supererebbe la prova del rasoio di Occam, per cui è preferibile lasciarla da parte .
Il fatto che tale rapporto sia inquadrabile come contratto produce conseguenze giuridiche: oltre a sottoporlo alla sua disciplina comune, ad es. permette di sottoporlo a quella consumeristica ex art. 33 ss cod. cons. Potrebbe invece non apparire necessaria, a prima vista, la qualifica contrattuale per sottoporlo a quello delle pratiche commerciali sleali ex art. 18 e ss cod. cons.: qui infatti il campo d'applicazione parrebbe a prima vista più esteso, concernendo le «pratiche commerciali tra professioni e consumatori». Tuttavia, affinché "venga falsato il comportamento economico" del consumatore, è difficile ipotizzare una modalità diversa dalla stipula di un contratto (di acquisto, solitamente) .
A questo proposito non è chiara la posizione del Consiglio di Stato, che pur conferma il rigetto della tesi di Fb disposto dal giudice di primo grado. Ravvisa infatti bensì una pratica commerciale ingannevole, ma esclude che ricorra una commercializzazione dei dati: «Le surriprodotte considerazioni, ad avviso del Collegio, vanno interpretate non nel senso della creazione di "compartimenti stagni di tutela" ma della esigenza di garantire "tutele multilivello" che possano amplificare il livello di garanzia dei diritti delle persone fisiche, anche quando un diritto personalissimo sia "sfruttato" a fini commerciali, indipendentemente dalla volontà dell'interessato-utente-consumatore. Nell'appena descritta accezione non viene in emersione la commercializzazione del dato personale da parte dell'interessato, ma lo sfruttamento del dato personale reso disponibile dall'interessato in favore di un terzo soggetto che lo utilizzerà a fini commerciali, senza che di tale destino l'interessato conosca in modo compiuto le dinamiche, fuorviato peraltro dalle indicazioni che derivano dalla lettura delle condizioni di utilizzo (come nel caso di specie) di una "piattaforma informatica"» . E' ambiguo il riferimento ad una «messa a disposizione» dei dati, che non integra una loro «commercializzazione»: infatti il titolo, in base a cui la prima avviene, è quello di uno scambio, e cioè appunto quello di una commercializzazione dei dati.
In breve, il rapporto giuridico negoziale è da qualificare come contratto a titolo oneroso: il servizio digitale è erogato a fronte di un diritto sull'uso dei dati prodotti dall'attività online dell'utente . Il punto è ormai pacifico e quasi tutta la dottrina lo riconosce ; addirittura taluno suggerisce di prender spunto dalla Convenzione di Vienna sulla vendita internazionale dei beni mobili del 1980 .
Profilo, tra l'altro, che rende incerta (o almeno potrebbe modificare) l'applicazione del concetto tradizionale di mercato , in cui diversi beni venivano paragonati tramite il loro prezzo monetario, che fungeva da c.d. unità di conto: il diritto ceduto sui propri dati personali, infatti, è dubbio possa svolgere la stessa funzione. Anche se la risposta potrebbe essere positiva, dato che nel trattamento massivo dei c.d. big data scompaiono le individualità: potrebbe allora darsi che dal punto di vista della piattaforma i dati di un singolo individuo arrivassero ad avere un valore standardizzato, potendo anche alla fine fungere da unità di conto, al pari del denaro . Ma si potrebbe ribattere in senso opposto che il valore di (=le utilità ritraibili da) un profilo individuale dipende molto dalla capacità di sfruttamento del suo acquirente: per cui verrebbe meno la possibilità di svolere tale tradizionale funzione.
Ora, poi, la cosa è divenuta non controvertibile alla luce della dir. 770 del 2019, che regola l'inadempimento del fornitore di contenuti e servizi digitali e i rimedi del consumatore. L'art. 3, delimitandone l'ambito applicativo, così recita: «La presente direttiva si applica a qualsiasi contratto in cui l'operatore economico fornisce, o si impegna a fornire, contenuto digitale o un servizio digitale al consumatore e il consumatore corrisponde un prezzo o si impegna a corrispondere un prezzo. La presente direttiva si applica altresì nel caso in cui l'operatore economico fornisce o si impegna a fornire contenuto digitale o un servizio digitale al consumatore e il consumatore fornisce o si impegna a fornire dati personali all'operatore economico, fatto salvo il caso in cui i dati personali forniti dal consumatore siano trattati esclusivamente dall'operatore economico ai fini della fornitura del contenuto digitale o del servizio digitale a norma della presente direttiva o per consentire l'assolvimento degli obblighi di legge cui è soggetto l'operatore economico e quest'ultimo non tratti tali dati per scopi diversi da quelli previsti» . Il pudore dell'eurolegislatore nell'equiparare lo scambio del servizio digitale contro prezzo a quello contro dati personali (pudore indubbio alla luce del diverso wording: solo per il prezzo parla di "corrispettivi": art. 2 n. 7 e cons. 24), non riesce ad occultare che la sostanza non cambia. Si tratta sempre di impegno negoziale, consistente in uno scambio di prestazioni sinallagmaticamente legate : le quali non si possono considerare in modo reciprocamente isolato o comunque tali da evitare la qualificazione di contratto (o negozio bilaterale) . La prova sta appunto nell'equiparazione quoad poenam o meglio quoad remedium disposta dalla dir. cit., a dispetto del cons. 24 per cui «tali dati non possono dunque essere considerati una merce» .
All'opposto, si è detto che l'eurolegislatore della dir. 770/2019 confermerebbe le difficoltà nel qualificare come contrattuale la fornitura di dati contro servizio digitale: lo proverebbe il diverso wording, dovuto all'intento di lasciare impregiudicata la riconducibilità dell'operazione al tipo "contratto" (alla luce dei casi di non applicazione della dir. indicati nel cons. 25), visto che tale qualifica non sarebbe scontata nei vari ordinamenti . L'opinione non parrebbe da condividere. Al contrario, il cons. 25 esclude la dir. proprio nei casi in cui i dati non costituiscono il corrispettivo. Quando invece costituiscono corrispettivo, è il cons. 24 ad occuparsene, per affermare inequivocabilmente la contrattualità: «La fornitura di contenuti digitali o di servizi digitali spesso prevede che, quando non paga un prezzo, il consumatore fornisca dati personali all'operatore economico. Tali modelli commerciali sono utilizzati in diverse forme in una parte considerevole del mercato. Oltre a riconoscere appieno che la protezione dei dati personali è un diritto fondamentale e che tali dati non possono dunque essere considerati una merce, la presente direttiva dovrebbe garantire che i consumatori abbiano diritto a rimedi contrattuali, nell'ambito di tali modelli commerciali. La presente direttiva dovrebbe pertanto applicarsi ai contratti in cui l'operatore economico fornisce, o si impegna a fornire, contenuto digitale o servizi digitali al consumatore e in cui il consumatore fornisce, o si impegna a fornire, dati personali»(grassetto aggiunto).
4. In quest'ottica di scambio esplicito tra servizio digitale contro diritto sui dati personali (e ricordata in limine la distinzione concettuale tra tutela della privacy/riservatezza e tutela dei dati personali) , va menzionata la questione del se il consenso sia libero, quando è prestato per un servizio, alla cui esecuzione non è strettamente necessario . Vediamo se la risposta potrebbe essere positiva, nonostante l'opinione di gran lunga prevalente sia nel senso opposto . E' sicuro che il consenso al trattamento dei propri dati a fini promozionali non è tecnicamente necessario per l'esecuzione della prestazione dei servizi di posta elettronica o di motore di ricerca. Solo che (potrebbe osservarsi) la valutazione sarebbe ragionevole farla non in relazione al funzionamento della prestazione promessa, ma dell'operazione economica complessiva, in cui la prima è inserita: ebbene, tale operazione prevede esattamente lo scambio tra prestazione digitale e cessione del diritto sui dati. Quindi se questo è il regolamento negoziale (offerto, accettato e quindi) concordato, in fase esecutiva il consenso sui dati diventa necessario: tanto che la piattaforma in caso contrario può non prestare il servizio a suo carico (oppure, astrattamente ed ex ante, potrebbe anche prestarlo ma a fronte di corrispettivo monetario : il che però cambierebbe radicalmente il tipo di business). In altre parole, affermare che in tale caso il consenso non è libero, potrebbe sembrare inesatto: dire che non è necessitato dall'attuazione della controprestazione, implica considerare questa ultima isolatamente, prescindendo dall'operazione in cui è inserita. Il tenore dell'art. 7.4 del GDPR è ambiguo e non aiuta a chiarire, nonostante prendano invece posizione contraria a quanto qui ipotizzato le linee guida dell'European Data Protection Board .
Inoltre secondo il cons. 42, «il consenso non dovrebbe essere considerato liberamente espresso se l'interessato non è in grado di operare una scelta autenticamente libera o è nell'impossibilità di rifiutare o revocare il consenso senza subire pregiudizio». Qui, però, da un lato, parrebbe libero, poiché nessuno costringe l'utente ad aprirsi un account Fb ; dall'altro, non può ravvisarsi pregiudizio, visto che il servizio offerto non è in regime di monopolio né è servizio pubblico, per cui manca un obbligo a contrarre . Nemmeno si tratta di prestazione chiesta, assieme ad un'altra parallela (quasi fosse un tying concorrenzialmente abusivo) o solo apparentemente necessaria, ma in realtà evitabile dall'utente e/o evitabile solo con eccessivo sforzo : si tratta invece di un'offerta commerciale costruita con corrispettivo non monetario.
Così ragionando, dunque, pare inesatta la posizione di chi ravvisa un tying contract nell'accordo sulla cessione dei dati (a fini di profilazione) rispetto a quello sulla fornitura del servizio digitale : quasi fosse un accordo imposto dalla parte forte, distinto da quello principale chiesto dall'utente, secondo la nota figura di abuso di posizione dominante in antitrust, chiamata appunto tying (art. 102.2 lett. d) TFUE-art. 3 lett. d) legge 287/90) . Si tratta invece di un unico accordo, servizio digitale contro dati: mancando la pluralità di operazioni da legare, non può ravvisarsi pratica di tying. Tying ricorrebbe, qualora, per far nascere un rapporto "servizio contro denaro" (es. servizi bancari), il (futuro) debitore del servizio (es. la banca) chiedesse anche il consenso alla profilatura a fini di marketing .
In breve, dunque, potrebbe sostenersi che la tutela dell'utente contro lo strapotere delle piattaforme, senz'altro doverosa, non potesse percorrere questa via (almeno per ora) .
Su questa linea si può ricordare Cass. 02.07.2018 n. 17.278, secondo cui «il condizionamento non possa sempre e comunque essere dato per scontato e debba invece essere tanto più ritenuto sussistente, quanto più la prestazione offerta dal gestore del sito Internet sia ad un tempo infungibile ed irrinunciabile per l'interessato, il che non può certo dirsi accada nell'ipotesi di offerta di un generico servizio informativo del tipo di quello in discorso, giacche´ all'evidenza si tratta di informazioni agevolmente acquisibili per altra via, eventualmente attraverso siti a pagamento, se non attraverso il ricorso all'editoria cartacea, con la conseguenza che ben può rinunciarsi a detto servizio senza gravoso sacrificio» .
Ciò a meno di ravvisare la ratio della disposizione nell'intento di «porre un correttivo ad un problema attuale di concentrazione di potere in capo ad alcuni soggetti rispetto ad un potenziale controllo su una massa enorme di informazioni, che li pone in una condizione simile a quella occupata dalle organizzazioni statali» . E' lecito però pensare che, se a questo avesse mirato, il legislatore UE si sarebbe espresso diversamente; ma se così fosse, la tesi qui ipotizzata perderebbe persuasività.
Il vero problema su questo tema pare allora risiedere, da un lato, nella non diffusa consapevolezza dell'esistenza di un do ut des e dei suoi termini, occultati da complicate clausole di accettazione, che rendono di fatto oltremodo difficile comprendere l'esatto trattamento approvando , anche per l'enorme asimmetria informativa tra le parti, cui il GDPR pone limitato rimedio . Occultati anche dalla sapiente narrativa adottata dalle Big Tech (e da chi opera nel mondo del marketing), secondo cui è proprio per un maggior beneficio dei consumatori (per il loro empowerment) che si esigono sempre più «algorithmic manipulation and modulation of consumers' decision-making» . Dall'altro lato, nella scarsa (spesso: quasi nulla) fungibilità del servizio volta per volta considerato : senza di questo, l'utente si troverebbe spesso tagliato fuori dalle relazioni sociali (soprattutto i più giovani, naturalmente) , come ammesso dal BGH tedesco nella decisione cautelare relativa al procedimento antitrust a carico di Fb . Anche questo aspetto incide sul concetto di consenso "libero ed informato". Il timore ragionevole e significativo, di perdere o di non acquisire relazioni sociali significative, può costituire assenza di free choice, come ricorda il Consiglio di Europa: «No undue influence or pressure (which can be of an economic or other nature) whether direct or indirect, may be exercised on the data subject and consent should not be regarded as freely given where the data subject has no genuine or free choice or is unable to refuse or withdraw consent without prejudice» .
Ne segue che il c.d privacy paradox (la gente dice di tenere alla privacy ma poi cede spensieratamente i propri dati alle piattaforme e a vari venditori), da molti affermato, in realtà non è poi così paradossale: è invece agevolmente spiegabile, soprattutto con le difficoltà cognitive e l'insignificante potere di mercato che gravano sull'utente .
5. Il problema potrebbe porsi anche sotto altri profili: i) se esistano limiti alla disponibilità del diritto sui propri dati personali, e ii) qualora la disponibilità sia ammessa, quando il relativo consenso sia stato validamente prestato.
Sul secondo tema va ricordato (oltre al profilo della libertà, appena ricordato) che il GDPR prevede la specificità del consenso al trattamento e cioè la chiara distinguibilità da quello prestato ad altro scopo (art. 6.1.a-art.7.2). Ipotesi che probabilmente ricorre nel caso nostro, in cui il consenso riguarda il regolamento contrattuale, del quale la cessione del diritto sui dati è una porzione (o meglio, la sola prestazione a carico dell'utente). Se così è, sarà necessario un consenso specifico sul trattamento dei dati a fini promozionali, distinto non solo (probabilmente) da quello sull'operazione contrattuale nel suo complesso, ma anche da quello sul servizio acquisendo. Infatti, anche limitandosi al problema del consenso al trattamento dati, si tratta di due trattamenti distinti: uno per il funzionamento del servizio digitale cercato, l'altro per le finalità promozionali . Tesi seguita dal Consiglio di Stato laddove censura come pratica ingannevole la mancata distinzione, visto che « le informazioni fornite risultano generiche ed incomplete senza adeguatamente distinguere tra, da un lato, l'utilizzo dei dati funzionale alla personalizzazione del servizio con l'obiettivo di facilitare la socializzazione con altri utenti "consumatori", dall'altro, l'utilizzo dei dati per realizzare campagne pubblicitarie mirate. - A ciò si aggiunga, quale aggravante del comportamento significativamente ingannevole, che nell'uso di FB, le finalità commerciali si prestano ad essere confuse con le finalità sociali e culturali, tipiche di un social network; - infatti, nella pagina di registrazione a FB, a fronte del claim "Facebook ti aiuta a connetterti e rimanere in contatto con le persone della tua vita", rileva, dunque, l'assenza di un adeguato alert che informi gli utenti, con immediatezza ed efficacia, in merito alla centralità del valore commerciale dei propri dati rispetto al servizio di social network offerto, limitandosi FB a sottolineare come l'iscrizione sia gratuita per sempre » .
In questo senso va risolta la questione del se sia sufficiente o meno, come base giuridica per la liceità della profilazione, il consenso rilasciato per l'esecuzione del contratto. Nell'ipotesi qui prospettata, infatti, il diritto alla profilazione viene ceduto (o costituito) in capo alla piattaforma, che eroga il servizio digitale: per cui potrebbe dirsi che, costituendone la controprestazione, il consenso al contratto coprisse anche la fruizione della prestazione dell'utente da parte della piattaforma (art. 6.1.b GDPR). Alcuni hanno risposto negativamente. Si è infatti osservato che in tale scenario la disposizione vada interpretata restrittivamente, per cui il consenso ivi cit. coprirebbe solo l'esecuzione della prestazione "caratteristica" cioè quella scambiata col diritto a profilare: altrimenti basterebbe contrattualizzare un qualsiasi trattamento dati per fruire della base giuridica dell'art. 6.1.b GDPR citato . La risposta preferibile, invece, è che sia bensì necessario un consenso distinto per la profilazione, la cui ragione però riposa sulla prescrizione di "specificità".
Allo scopo, è da vedere se sia sufficiente inserirlo nelle clausole sottoposte a doppia firma (ex art. 1341 cc): e non è detto che la risposta sia positiva.
Le sentenze europee sul punto della validità del consenso paiono essere soprattutto due: - CGUE 01.10.2019, C-673/17, Bundesverband der Verbraucherzentralen und Verbraucherverba?nde - Verbraucherzentrale Bundesverband eV contro Planet49 GmbH; - CGUE 11.11.2020, C-61/19, Orange Roma?nia SA contro ANSPDCP (cit.), che si occupa anche dell'onere della prova relativo .
Sul primo tema (se esistano limiti alla disponibilità del diritto sui propri dati), al momento parrebbe esatto ritenere che la disponibilità fosse ammessa dall'ordinamento in limiti piuttosto ampi. Non mi sembrano però utilizzabili in tale senso gli accenni alla libera circolazione dei dati presente nel GDPR . Si tratta bensì di interesse decisamente rilevante nell'ambito del reg. medesimo : però, da un lato, costituiscono affermazione generica, e, dall'altro, non precisano il titolo giuridico di tale circolazione (da soggetto a soggetto, parrebbe), limitandosi a menzionarla come fatto oggettivo socialmente desiderabile .
E' difficile sostenere che l'effetto di forza legge del contratto (art. 1372 cc) prevalga sempre sulla disciplina specifica della data protection, ad es. circa i limiti di revocabilità del prestato consenso al trattamento . Servirà allora un coordinamento tra l'esercizio del diritto di revoca/recesso e l'esecuzione dell'operazione contrattuale concordata: che probabilmente comporterà una sospensione (disattivazione) del servizio digitale fruito fino al quel momento. Si tratterà di una caso di recesso ex lege (art. 1372 c.1 cit.) o quantomeno di sospensione dell'esecuzione (il c.c. ne menziona alcuni casi) . Potrebbe anche esplorarsi la via della risoluzione per impossibilità sopravvenuta, a seguito della revoca del consenso: si tratta di via alternativa a quella proposta qui, secondo cui la revoca al consenso vale recesso ex lege nel rapporto contrattuale .
La cennata sinallagmaticità porta alla conseguenza per cui il dovere di liceità del trattamento rientra tra gli obblighi contrattuali a carico della piattaforma . La sua violazione dunque costituirà inadempimento contrattuale, con gli effetti conseguenti: al pari di qualunque facoltà pattiziamente concessa, che importi ingresso nella sfera della controparte, la quale non potrà esercitarsi oltre i limiti legali o pattizi posti a tale ingresso (o meglio, posti per il suo esercizio) . Anche le regola, posta autoritativamente ad integrazione della pattuizione privata, infatti, concorre a comporre il complessivo regolamento del rapporto contrattuale (art. 1374 c.c.): per cui la sua violazione è appunto violazione di obbligo e non fatto illecito .
Così pure il vizio nel consenso al trattamento, rendendo questo illecito e quindi non più fruibile la prestazione da parte della piattaforma, permetterà a quest'ultima di svincolarsi dal contratto: da vedere se per il medio di vizio genetico (annullamento per errore?) o difetto funzionale (una delle tre risoluzioni), impregiudicata la questione di eventuali danni cagionati dall'utente o all'utente . Tra due parti di paragonabile forza economica, si rimedierebbe velocemente, integrando il consenso con le dichiarazioni mancanti: è assai dubbio invece che ciò possa avvenire nei rapporti massivi con le piattaforme digitali.
Il tema della conciliazione tra la disciplina da protezione dei dati e quella contrattual-consumeristica meriterà esame approfondito .
La guida fornita dall'incidenza del diritto morale di autore su quello patrimoniale potrebbe a prima vista essere utile. A meglio pensare, però, la risposta potrebbe cambiare: i limiti, posti dagli art. 20-22 e 142 l. aut., parrebbero di difficile applicazione alla data protection, i cui diritti dovrebbero essere incomprimibili . Ma il dubbio è lecito: potrebbe ad es. prevalere un orientamento, volto a dare giuridica dignità alla commerciabilità quasi piena dei dati, magari con poche limitazioni di fonte pretoria .
6. Andrebbero indagati poi ulteriori profili discendenti dalla contrattualità (consumeristica): ad es. quelli inerenti l'informativa precontrattuale ex art. 49 c. cons. (soprattutto circa il prezzo, lett. e), ed ex art. 51 c.2 c. cons. Qui il problema è capire se nel concetto di «prezzo» rientri pure il corrispettivo non monetario de quo: parrebbe di no, alla luce del cit. art. 3 dir .770/2019, che distingue nettamente il corrispettivo come prezzo (§ 1) dal corrispettivo consistente in dati personali (§ 2). E in effetti tale è la scelta fatta dall'eurolegislatore con la dir. 2019/2161, che ha dovuto aggiungere un § 1 bis all'art. 3 della dir. 2011/83 (fonte del cit. art. 49 cod. cons.), da recepire entro il 28.05.2022 (art. 7).
Oppure si potrebbe approfondire il profilo del se tale condotta, laddove oscura la contrattualità nel senso di sinallagmaticità, costituisse pratica commerciale sleale ingannatoria, se non addirittura aggressiva .
Un cenno ora al recesso. Il diritto di recesso di Facebook (cioè di chiudere l'account) è regolato dalla legge o da contratto. il giudice (§ 4.2) ricorda i casi in cui, secondo le condizioni d'uso, Fb può adottare le cosiddette sanzioni che, in un crescendo di gravità, arrivano alla disabilitazione dell'account come massimo.
Nel caso specifico non è stato invece addotto alcun motivo per la disabilitazione e cancellazione dei dati, tra quelli previsti nelle terms of service . Tali non sono stati ritenuti i due addotti in causa: - pretesa indeterminatezza della domanda per l'impossibilità di individuare l'account riferibile all'utente; - l'allegazione di impossibilità di motivare, avendo distrutto il materiale.
Il giudice al § 5.1 rigetta il primo motivo e condivisibilmente: che Facebook non riesca a individuare l'account, pur avendo nome cognome e altri dati molto singolari relativi al collezionismo di materiali militari, è ben poco credibile.
Tantomeno è valida la seconda ragione addotta, relativa alla distruzione del materiale caricato on-line: questa non è una ragione, ma una tautologia. Nemmeno lo è la precisazione, che ciò sarebbe avvenuto per la negligenza del ricorrente, che ha aspettato troppo (oltre sette mesi, secondo Fb) prima di iniziare il procedimento. Il giudice qui ha buon gioco nel replicare che, a parte non essere esatti i riferimenti temporali, Fb avrebbe dovuto quantomeno conservare i dati per il tempo di prescrizione. In ogni caso Fb si contraddice, in quanto la dichiarazione di aver distrutto i dati era ben anteriore ai sette mesi allegati . Soprattutto, alla luce delle enormi capacità di storage di Fb e in mancanza di pattuizione sul punto, l'affermazione di Fb è, da un lato, effettivamente non credibile (se non palesemente insincera), e, dall'altro, giuridicamente fuori bersaglio.
7. La distruzione della documentazione, vero punto nevralgico della lite, secondo il giudice costituisce inadempimento contrattuale, intenzionalmente mirante a provocare danno ingiusto (§ 5.2). Che vi fosse un'obbligazione di mantenere il profilo e il materiale ivi presente, è certo: il giudice lo afferma ma non riporta la pattuizione, anche se in ogni caso ne discenderebbe da interpretazione secondo buona fede . Il dovere di "mantenimento" riguarda la conservazione sia durante la piena operatività del rapporto, sia nelle sue fasi anomale e cioè nel caso Facebook optasse per la disconnessione o a maggior ragione per la sospensione temporanea (la quale potrebbe costituire un'applicazione della regola inadimplenti non est adimplendum, se a fronte di violazione dell'utente). Può non essere chiarissimo quando il contratto sia tecnicamente risolto, potendoci essere una disabilitazione non definitiva o comunque una gradualità nella riduzione della prestazione: ma quando fosse invece definitiva, il rapporto contrattuale dovrebbe intendersi giuridicamente risolto.
Anzi, tale dovere di "mantenimento" esiste qualunque sia la causa risolutiva.
A quel punto sorgerebbe l'obbligo restitutorio, anche esso governato dalla buona fede , a prescindere dalla sua ricostruzione teorica . Restituzione che, in materia di un servizio digitale di questo tipo, potrebbe dirsi consistere nel dare il tempo all'utente di fare copia dei dati memorizzati e probabilmente anche di metterli a disposizione per il download in un formato fruibile presso analoghe piattaforme (anche per ragioni proconcorrenziali , probabilmente, cui è sensibile l'interpretazione di qualunque ramo dell'ordinamento giuridico e quindi anche di quello civilistico, dopo il nostro inserimento nel contesto europeo ). Anzi, ha il diritto di farli trasmettere presso altre piattaforme: la disposizione è chiara .
Al limite, Fb avrebbe potuto limitarsi ad oscurare il profilo per i terzi, conservandolo visibile solo per l'utente (c.d. shadowbanning) o comunque ad adottare un rimedio meno drastico . La distruzione invece è difficilmente spiegabile, anche in relazione alla lettura "ritorsiva" dell'attore, legata -parrebbe- solo ad una precedente diffida stragiudiziale di costui quale legale di parte (v. poco dopo) .
Il giudice osserva che, «vertendosi in materia di responsabilità contrattuale ed essendo certa l'avvenuta cessazione della prestazione, dunque l'inadempimento della resistente, incombeva sulla stessa l'onere di provare l'impossibilità sopravvenuta a lei non imputabile oppure la legittimità del proprio recesso. In carenza di qualsiasi allegazione e prova di qualsiasi causa giustificativa, contrattualmente prevista, e in manifesta inottemperanza agli obblighi informativi, la fattispecie va inquadrata dunque come inadempimento della resistente rispetto all'obbligazione assunta di mantenere il profilo e la pagina Facebook. È accertato, dunque, che la resistente si sia resa oggettivamente inadempiente, senza che quest'ultima nel corso del giudizio abbia provato ai sensi dell'art. 1218 c.c. che tale inadempimento sia stato dovuto a una causa oggettiva a lei non imputabile o abbia allegato e dimostrato una motivata causa di recesso o di risoluzione del contratto, sicché è provata la responsabilità contrattuale della resistente. ».
Qui in realtà va osservato che, anche vi fosse un motivo legittimo di recesso, questo non avrebbe giustificato la distruzione dei dati, come appena sopra suggerito: effetto discendente sempre dalla buona fede in executivis, faro che illumina oscurità e/o lacune contenutistiche del regolamento . Se comportarsi secondo buona fede significa nella sua accezione fondamentale comportarsi "secondo correttezza e lealtà" e cioè che su ciascuna parte grava innanzitutto «un obbligo di assicurare l'utilità dell'altra nella misura in cui ciò non comporti un apprezzabile sacrificio a proprio carico» (una sorta di dovere di reciproca solidarietà) ; se questo è esatto, allora non c'è dubbio che Fb era titolare di un dovere di data retention, come sopra accennato.
Inoltre è provata non la responsabilità, la quale significa soggezione al rimedio risarcitorio, ma semmai la violazione del contratto: la responsabilità ricorre solo nel caso di prova di danni causalmente connessi alla violazione.
Al § 6 il giudice, circa la ragione della distruzione in modo irrecuperabile del materiale e del profilo, accoglie la tesi attorea. Secondo questa, si tratterebbe di ritorsione di Fb per aver egli, da avvocato, in precedenza intimato alla stessa Fb la riattivazione di account per conto di altro utente cui pure era stato chiuso.
Secondo il giudice, tale motivazione non sarebbe mai stata contestata specificamente da Fb, per cui ex 115 c.p.c. deve assumersi provata. E' condivisibile la precisazione del modus operandi generale dell'art. 115 c.p.c. , meno invece l'applicazione al caso de quo. La disposizione invero si riferisce ad allegazioni di «fatti»: qui invece non ricorrono fatti, ma un giudizio intorno alla ragione della condotta tenuta da Fb, per cui la disposizione non dovrebbe avere spazio applicativo. Si sarebbe magari dovuto tentare di arrivare al medesimo risultato, applicando una presunzione, potendosi forse ravvisare gravità precisione e concordanza: ma si sarebbe potuto opporre che anche la presunzione è un mezzo logico per arrivare alla prova di fatti e in particolare di fatti ignoti, inferendoli da fatti noti.
Non è chiarissima la rilevanza processuale di questa parte dell'iter motivatorio (ritorsione di Fb): potrebbe ad es. essere servita come base per ravvisare il dolo (ad es. ai fini del risarcimento del danno non prevedibile 1225 cc) o per la condanna ex art. 96 c. 3 c.p.c. (ciò che in effetti poi si legge in sentenza).
8. Il giudice, poi, passando alla questione del danno non patrimoniale, ricorda è che risarcibile nel caso di violazione di diritti con dignità costituzionale, anche se avvenuta tramite inadempimento di un obbligo, anziché commettendo un illecito aquiliano (§ 7, p. 9). Si tratta in effetti di un insegnamento ormai acquisito . Giustamente, poi, ne afferma la ricorrenza nel caso de quo.
Altrettanto giustamente rigetta l'argomento di Facebook, secondo cui l'utente, se avesse tenuto realmente alla conservazione delle memorie, avrebbe potuto utilizzare la funzione «scarica le tue informazioni». Infatti non può ravvisarsi concorso di colpa, dal momento che non figura nelle condizioni di contratto alcun avvertimento il tal senso. Anche vi fosse stato, poi, un'esecuzione secondo buona fede, che tenesse conto della disparità di asimmetria informativa e di forza economico/organizzativa tra le parti, avrebbe imposto che comunque vi fosse un preavviso da parte della piattaforma . Il giudice ritiene che la protrazione nel tempo (circa dieci anni) dell'attività sul social da parte dell'attore ha prodotto una mole di dati tale, per cui la loro perdita ne ha danneggiato in modo grave e irreparabile la vita di relazione (§ 7, p. 10).
Non è di ostacolo la questione della prevedibilità (da riferire al momento in cui il debitore ha scelto di non adempiere, a dispetto del tenore dell'art.1225 cc ), poiché, come detto sopra, qui ricorreva il dolo, essendoci la consapevolezza di ledere l'altrui diritto (art. 1225 cc) . A parte ciò, si tratta di danni ampiamente prevedibili al momento in cui Fb pose in essere l'inadempimento: da un lato, infatti, Fb sapeva cosa stava memorizzato nei propri server in relazione all'utente de quo e, dall'altro, il danno "relazionale" è agevolmente prevedibile per una piattaforma che ha fatto dell'interconnessione tra le persone la sua headline pubblicitaria. La connessione tra utenti, del resto, rientra tra i primari interessi dedotti in contratto che la piattaforma non può ledere, sicchè tutta la vita del rapporto giuridico dovrà tenerne conto : le note differenze socio-culturali tra civiltà occidentali (più individualiste) e orientali (più inclini ad una visione olistica) , che astrattamente potrebbero portare ad una soluzione opposta, vengono poi in concreto (ed in parte qua) ridotte dall'importanza che anche nelle prime (o almeno nel nostro ordinamento) assume la dimensione relazionale del rapporto giuridico sub iudice per l'operare di precise regole giuridiche .
Si potrebbe poi discutere se l'art. 1225 andasse applicato anche al danno non patrimoniale, come parrebbe; così del resto ritiene l'ordinanza qui esaminata .
E' piuttosto interessante l'affermazione, secondo cui, pur essendo in generale l'attore gravato di provare il danno, l'onere va invertito nel caso de quo per il principio della vicinanza alla prova: la distruzione dei dati per la decisione di Fb di impedirne la produzione in giudizio , infatti, ha reso impossibile l'attività probatoria dell'attore. E' interessante, poiché normalmente il criterio della vicinanza alla prova è adoperato per interpretare l'art. 2697 cc e cioè per dirimere la questione della corretta distribuzione dei fatti di causa tra i fatti costitutivi oppure impeditivi/modificativi/estintivi. Secondo il giudice, invece, è pacifico che l'allegazione e prova del danno cagionato riguardi un fatto costitutivo, il cui onere incombe sull'attore. Egli sceglie però di disapplicare tale regola per applicarne una diversa, eccezionale, verosimilmente sulla base di un'applicazione diretta del diritto di difesa sancito dalla carta costituzionale (art. 24 Cost.). Pare allora trattarsi in sostanza di una norma pretoria sul riparto probatorio, creata ex novo (non potendosi ritenerla applicazione dell'art. 2697 cc), che potrebbe formularsi così: «il contraente, che ha reso impossibile all'altro contraente la prova del danno subito, distruggendone le cose o i documenti in proprio possesso, ha l'onere di provare l'assenza del danno allegato dal secondo».
L'interesse allora, se ciò è esatto, sta nel fatto che applica una norma costituzionale (l'art. 24 Cost. appunto) in via diretta, anziché semplicemente per il medio della legge ordinaria tramite una sua interpretazione costituzionalmente orientata oppure tramite un opportuno governo delle clausole generali. L'operazione ermeneutica, pur partendo da un'esigenza condivisibile, suscita perplessità: sarebbe stato forse più lineare arrivare al medesimo risultato liquidatorio semplicemente applicando la determinazione equitativa permessa dall'art. 1226 c.c., senza modificare l'onere probatorio sottostante (lasciandolo cioè a carico dell'attore) .
La liquidazione si concretizza in una condanna al pagamento di euro 10.000 + 2.000 + 2.000 determinati in via equitativa, «non avendo la resistente prodotto alcun elemento a sostegno di un ridotto utilizzo del profilo personale e delle due pagine, e avendo il ricorrente allegato un utilizzo assai intenso degli stessi».
In una altra fattispecie (analoga in parte qua), nella quale non è più possibile la prova del danno (patrimoniale) cagionato per la mancanza -evidentemente cagionata dal debitore- dei documenti pertinenti, il legislatore ha ordinato la determinazione del danno con criterio sostanzialmente punitivo. Certo punitivo sotto il profilo privatistico e non criminale, ma pur sempre punitivo, non svolgendo né una funzione compensativo-risarcitoria né una restitutoria. Si tratta del nuovo terzo comma dell'articolo 2486 codice civile, ult. parte, in tema di responsabilità degli amministratori in fase concorsuale . Secondo tale disposizione, quando per mancanza di scritture contabili o per altra ragione, i netti patrimoniali pertinenti (del momento di cessazione dalla carica e del verificarsi della causa di scioglimento) non possono essere determinati, si applica il criterio "grezzo" della differenza tra attivo e passivo.
La somiglianza tra i due casi sta nel fatto che il convenuto ha distrutto o fatto sparire i documenti che avrebbero potuto servire ad accertare con una certa precisine la sua responsabilità. La differenza (oltre alla non patrimonialità) , invece, sta nel fatto che nel caso della responsabilità degli amministratori non si può parlare di determinazione equitativa, parendo dogmaticamente esatto ravvisare una sanzione/punizione. Nel caso de quo, invece, si rimane nell'ambito compensatorio, anche se la stima poi avviene secondo equità .
9. Pure interessante è la decisione sulla domanda di adempimento contrattuale, assistita da penale per il ritardo (verosimilmente ex art. 614 bis c.p.c.). La domanda è rigettata, stante l'impossibilità dichiarata da Fb di procedere al ripristino (ciò in cui sarebbe consistito l'adempimento predetto). Tale impossibilità è stata ritenuta processualmente provata (anche qui) per l'operare del meccanismo della non contestazione ex art. 115 cpc: avendola il resistente allegata, toccava al ricorrente contestarla in modo specifico.
Non pare però un'applicazione corretta della disposizione citata. La parte, contro cui sono allegati certi fatti, ha l'onere di contestarli in modo specifico solo quando rientrano nel suo dominio: non si può invece onerarla di contestare fatti, che fuoriescono da esso, dal momento che ad impossibilia nemo tenetur.
È un interessante portato dell'innovazione tecnologica. L'allegazione di irrecuperabilità dei dati, effettuata da una parte, viene data per buona (cioè ritenuto fatto processualmente provato): sicché il rimedio contrattuale dell'adempimento (e relativa penale) viene escluso sulla sola base di tale allegazione, con la conseguenza di dover optare per quello risarcitorio . Sarebbe in effetti stato probabilmente irragionevole accogliere la domanda di adempimento e farla assistere dal comando della penale: o meglio così sarebbe stato solo dopo un'allegazione provata da parte di Fb in tale senso, mentre sembra di capire che non vi sia stata alcuna prova (se non il citato meccanismo di non contestazione , che però -come detto- non pare applicabile).
10. Data la (possiamo dirlo, credo) "odiosità" della condotta di Fb, consistente nella distruzione immotivata o peggio ancora ritorsiva dei dati dell'attore ospitati nei propri server , ed inoltre data l'abusiva e ostruttiva condotta processuale, il giudice ritiene di condannare la società all'esborso previsto dall'articolo 96 c. 3 nella (frequente) misura di un multiplo delle spese di lite e precisamente nel loro triplo .
L'interpretazione di tale disposizione costituisce tema complesso, qui non affrontabile, per cui mi limito a qualche rapido cenno. È corretto richiedere che le strategie difensive abusive siano state poste in essere con malafede, nonostante l'articolo 96 c. 3 non menzioni l'elemento soggettivo ed anzi non menzioni praticamente alcun criterio per delimitare il proprio ambito applicativo. La norma tuttavia è a forte rischio di incostituzionalità, trattandosi di pena privata, che non rispetta il principio costituzionale di determinatezza e tipicità, cui deve sottostare la disposizione penale , oppure non rispettando la riserva di legge posta dall'art. 23 Cost. . E' ragionevole pensare ad una sua applicazione non tanto al caso di semplice esito sfavorevole del processo, quanto al suo prolungamento eccessivo: ciò in cui consiste l'abuso di attività istruttorie processuale, determinato dalla condotta della parte.
Ricorre dunque una svista, quando il giudice usa l'espressione «determinare il danno in via equitativa» a proposito dell'articolo 96 c. 3 c.p.c. La somma, a cui è tale disposizione fa riferimento, non viene irrogata a titolo di risarcimento di un danno, bensì a titolo di sanzione e cioè a fini pubblicistici (pur se a beneficio di parte ). Come accennato già sopra, infatti, costituisce una sanzione, dal momento che è scollegata dal criterio risarcitorio, e ciò anche se mira a fini non solo pubblicistici, come potrebbe pensarsi, ma anche privatistici. E' cioè finalizzata sia a scoraggiare l'intasamento delle Corti con liti pretestuose, sia il fastidio arrecato ai privati con pretese o modalità difensive inappropriate, quando non si riesca a utilizzare a scopo dissuasivo lo strumento del risarcimento del danno .
In chiusura, l'odiosità della condotta porta a chiedersi se non vi fossero altre sanzioni per la stessa (amministrative o penali). Non può trattarsi di un'imputazione artificiosa dello stato delle cose, di cui alla frode processuale articolo 374, mancando soprattutto l'elemento soggettivo dello scopo frodatorio. Certamente però integra un trattamento dati (tale essendo la distruzione ) non consentito: per cui bisognerà indagarne l'assoggettabilità a sanzione amministrativa (art. 166 c. priv.) e/o penale (artt. 167 c-. priv.). Potrebbe anche ricorrere la violazione dell'art. 635 bis c.p. "danneggiamento di informazioni, dati e programmi informatici", magari aggravato dall'abuso della qualità di operatore del sistema, di cui al c.2.
Scritti dell'Autore
- Di marchi deboli, marchi nulli e di segni usati in funzione non distintiva (sulla non facile collocazione normativa degli usi c.d. comparativi e/o "referenziali" del marchio altrui)
- Responsabilità di Facebook per chiusura immotivata di account con distruzione dei dati ivi presenti. Sul rapporto giuridico utente/piattaforma: tra protezione e commercializzazione dei dati personali
- La responsabilità civile degli internet service provider per i materiali caricati dagli utenti (con qualche considerazione sul ruolo di gatekeepers della comunicazione)
- Novità in tema di disciplina dei marchi: le disposizioni sostanziali del d. lgs. 15 del 20.02.2019