Consiglio di Stato in sede giurisdizionale, Sezione Sesta, sentenza n. 9614 depositata il 2 dicembre 2024 – In tema di riservatezza nella raccolta dei dati personali l’obbligo di estrema chiarezza gravante sul professionista deve essere da costui assolto sin dal primo contatto, attraverso il quale debbono essere messi a disposizione del consumatore gli elementi essenziali per un’immediata percezione della offerta pubblicizzata

Consiglio di Stato in sede giurisdizionale, Sezione Sesta, sentenza n. 9614 depositata il 2 dicembre 2024

informazioni poco chiari violano sia il GDPR che il codice del consumo – il consenso preimpostato o con preflaggata viola il GDPR

FATTO

1. Con deliberazione n. 29888 del 9 novembre 2021 l’Autorità Garante della Concorrenza e del Mercato (in prosieguo solo “AGCM” o “Autorità”) ha sanzionato A.D.I.L. (in prosieguo solo “A.D.I.L.”) in relazione a due illeciti consumeristici, consistenti:

(a) in carenze informative in merito alla raccolta dei dati dell’utente a fini commerciali anche per l’utilizzo nell’ambito dell’App Store e degli altri Store A.D.I.L.: attraverso la creazione dell’ID A.D.I.L., indispensabile per l’uso di tutti i dispositivi e i servizi offerti da A.D.I.L., e per l’accesso alla piattaforma App Store e agli altri Store A.D.I.L., A.D.I.L. acquisirebbe i dati personali e di utilizzo dei servizi dell’utente per una loro utilizzazione a fini commerciali da parte della Società, senza portarne a conoscenza in maniera adeguata i consumatori stessi;

(b) nell’aver pre-impostato il consenso alla raccolta dei dati personali a fini commerciali da parte di A.D.I.L.: in particolare, la Società avrebbe adottato una modalità di acquisizione del consenso all’uso dei dati degli utenti a fini commerciali in opt-out, ossia senza prevedere per il consumatore la possibilità di scelta preventiva ed espressa in merito alla cessione dei propri dati, la cui possibilità di acquisizione per la Società risulterebbe pre-impostata sin dalla fase di creazione dell’ID A.D.I.L., creazione che costituisce una azione obbligata per il consumatore che intenda utilizzare i dispositivi A.D.I.L.; inoltre, il consumatore che vuole effettuare una scelta diversa deve intraprendere una complessa e non immediata procedura per la disattivazione dell’opzione.

2. In particolare, ritenuta la possibilità di applicare la disciplina del cumulo materiale, e considerato il fatturato globale realizzato da A.D.I.L. nel 2020, l’Autorità ha irrogato per ciascuna delle due condotte la sanzione di €. 5.000.000,00.

3. L’indicato provvedimento è stato impugnato da A.D.I.L. avanti al Tribunale Amministrativo Regionale per il Lazio, che, con la sentenza in epigrafe indicata, ha accolto il ricorso.

3.1. Il TAR, respinte alcune censure di carattere procedurale, ha accolto il ricorso ritenendo il provvedimento impugnato inficiato da travisamenti in fatto nell’attività di accertamento svolta dall’Autorità e dall’assenza di una portata decettiva delle condotte contestate.

3.2. Secondo il primo giudice la condotta descritta al capo a) non implica, se non in via meramente eventuale, uno sfruttamento commerciale dei dati personali dell’utente, da questi forniti all’atto della creazione dell’ID: diversamente da quanto sostiene l’Autorità, la personalizzazione delle mail inviate all’utente ai fini di marketing avverrebbe, infatti, solo dopo che questi è già entrato negli stores, interagendo con essi. Inoltre, la “personalizzazione” degli stores non equivarrebbe a uno sfruttamento immediato e diretto delle informazioni raccolte, dal momento che A.D.I.L. consegue un profitto solo nel caso in cui gli utenti effettuino un successivo acquisto ovvero attraverso la vendita di pubblicità tramite la funzione “Search ads”, che riguarda le app presenti nello store. In terzo luogo, il termine “personalizzazione” è accompagnato da una informativa “di primo livello”, resa disponibile tramite un apposito “link”, attraverso cui sono anche esplicitate le modalità di disabilitazione del servizio.

Il TAR, inoltre, ha ritenuto insussistente il requisito della decettività della condotta, correlata all’uso dei termini “personalizzazione”, “consigli” e “raccomandazioni”, e ciò per la ragione che il tutto avviene all’interno di uno “store”, cioè di un “negozio virtuale”, il cui accesso intrinsecamente presuppone la consapevolezza da parte dell’utente della natura commerciale delle transazioni che al suo interno possono essere eseguite.

Dunque – secondo il TAR – benché sia ragionevole ipotizzare che la profilazione del cliente possa essere utile ad A.D.I.L. per migliorare la capacità “attrattiva” degli stores e, in ultima analisi, per accrescere il proprio fatturato, la condotta contestata non può ritenersi ingannevole perché è comunque necessaria una successiva scelta consapevole del consumatore che realizza una operazione di acquisto all’interno dei negozi virtuali.

3.3. Relativamente alla condotta sub b), il TAR ha ritenuto non corretta l’affermazione dell’Autorità secondo cui “la pre-attivazione in questione determina, già di per sé, il trasferimento e l’utilizzo dei dati da parte di A.D.I.L., una volta che questi vengano generati, senza la necessità a tal fine di ulteriori passaggi in cui l’utente possa confermare o modificare la scelta pre impostata”. Anche in questo caso per la ragione che attraverso la creazione dell’ID A.D.I.L. e alla personalizzazione degli stores non viene effettuata una acquisizione a fini commerciali di dati, che presuppone il compimento da parte dell’utente di ulteriori attività. Mancherebbero, pertanto, gli elementi per considerare la pratica commerciale ingannevole e aggressiva, non avendo portata decettiva e non essendo in grado di produrre un “indebito condizionamento” del consumatore.

4. Avverso l’indicata decisione ha proposto appello l’Autorità.

5. A.D.I.L. si è costituita in giudizio insistendo per la reiezione del gravame, riproponendo i motivi ottavo e decimo del ricorso originario, e svolgendo appello incidentale.

6. Anche l’associazione dei consumatori U.DI.CON. APS, in primo grado intervenuta in giudizio ad opponendum, si è costituita in giudizio insistendo per l’accoglimento dell’appello proposto dall’Autorità.

7. La causa è stata chiamata alla camera di consiglio del 12 gennaio 2023 e quindi alla pubblica udienza del 18 luglio 2024, in occasione della quale è stata trattenuta in decisione: il Collegio dà atto che la prima memoria ex art. 73, comma 1, c.p.a., depositata dall’AGCM è tardiva e inutilizzabile, in quanto registrata a sistema il 3 luglio 2024, allorché il termine in questione – di 15 giorni liberi – imponeva di effettuare il deposito al massimo entro il 2 luglio 2024.

DIRITTO

8. L’appello principale dell’Autorità deve essere esaminato in via prioritaria, essendo l’appello incidentale di A.D.I.L. condizionato all’accoglimento dell’appello principale.

9. Con unico, articolato, motivo d’appello, l’Autorità ha contestato l’appellata sentenza sia nella parte in cui ha ritenuto insussistente l’illecito sub a), che nella parte in cui ha ritenuto insussistente l’illecito sub b).

9.1. In primo luogo l’Autorità sostiene che il TAR sarebbe incorso in un errore di impostazione: la decisione appellata, infatti, presuppone che per “decisione commerciale”, in ordine alla quale devono essere assicurate la completezza informativa e la libertà di determinazione del consumatore che accede ad una piattaforma di commercio di beni e servizi digitali come A.D.I.L., si debba intendere soltanto la decisione di acquisto verso corrispettivo di uno di tali beni o servizi. Secondo l’Autorità, invece, per “decisione commerciale”, dovrebbe intendersi anche la decisione dell’utente di fornire i propri dati personali prima e a prescindere dal compimento, necessariamente successivo ed eventuale, di singoli atti di acquisto, dovendosi tra l’altro considerare che non sarebbero solo i dati personali ad avere un valore commerciale, ma anche i dati di navigazione dell’utente sulle piattaforme, utilizzati per la profilazione; si tratta, quindi, di dati necessari per lo sviluppo di qualsiasi piattaforma, ed inoltre suscettibili di cessione da parte del gestore della piattaforma; l’insieme di tali dati, pertanto, costituirebbe un valore immateriale suscettibile di autonoma valutazione economica; a conferma di ciò l’Autorità evidenzia come la gratuità dell’accesso e dell’uso della piattaforma di e-commerce viene concessa dal gestore al consumatore proprio “in cambio” della cessione dei dati personali di quest’ultimo, ben prima e anche in totale mancanza di singoli atti di acquisto a titolo oneroso da parte del consumatore. Per tale ragione una corretta ed esaustiva informazione circa l’uso che potrebbe essere fatto dei dati personali e dei dati di navigazione dovrebbe essere assicurata fin dal momento in cui l’utente crea l’ID, fornendo i propri dati personali

La natura commerciale degli stores nei quali l’utente naviga non renderebbe, inoltre, l’utente automaticamente consapevole del valore economico dei dati forniti e di come essi saranno in concreto sfruttati; in ogni caso tale, eventuale, consapevolezza da parte dell’utente non priverebbe quest’ultimo del diritto a ricevere una esaustiva informativa sin dal primo accesso alla piattaforma.

9.2. Relativamente alla prima condotta, l’appellante principale precisa ulteriormente l’erroneità dell’appellata sentenza nella parte in cui essa ha affermato che “attraverso la creazione dell’ID A.D.I.L. e alla personalizzazione degli Stores non viene effettuata una acquisizione a fini commerciali di dati, che presuppone il compimento da parte dell’utente di ulteriori attività”: l’appellante evidenzia che l’Autorità non ha inteso sanzionare lo sfruttamento commerciale dei dati da parte di A.D.I.L., quanto piuttosto il fatto che A.D.I.L. non ha correttamente informato l’utente della circostanza che i relativi dati personali avrebbero potuto essere utilizzati a fini commerciali, a proprio profitto o di terzi: la condotta sanzionata, quindi, consiste in una omissione di informazioni.

L’Autorità avrebbe dimostrato, infatti, che il Professionista, per consentire l’utilizzo dei servizi e delle funzionalità A.D.I.L., sin dall’inizio impone al consumatore almeno una cessione minima dei suoi dati attraverso la creazione dell’account (profilo) ID A.D.I.L., il quale deve essere usato per tutti i dispositivi e i servizi A.D.I.L., e deve essere costantemente aggiornato, al fine della configurazione automatica dei prodotti e dell’utilizzo di tutti i servizi A.D.I.L. sui dispositivi in possesso dell’utente. Avrebbe inoltre dimostrato che A.D.I.L. in nessuna fase – cioè sia al momento della configurazione dell’ID, sia nei successivi momenti dell’aggiornamento dello stesso e della navigazione sugli stores – fornisce una corretta informativa in merito alla raccolta ed utilizzo dei dati personali a fini commerciali e per l’attività promozionale svolta dalla Società, anche per conto terzi: nella pagina di creazione dell’ID, infatti, è assente un qualsiasi riferimento diretto, esplicito ed esaustivo, all’utilizzo a fini commerciali dei dati, le informazioni fornite non contengono riferimenti a tale utilizzo, e alcuni richiami, chiari ed esaustivi sono riportati in una pagina raggiungibile esclusivamente tramite un link, la cui apertura può essere omessa dall’utente. Nella pagina di creazione dell’ID A.D.I.L. si poneva più l’accento sulla convenienza, per l’utente, a consentire alla piattaforma di inviargli “comunicazioni, raccomandazioni, consigli” piuttosto che ad allertarlo sull’uso dei suoi dati a fini commerciali per consentirgli di esprimere una scelta consapevole. E ancora, nelle schermate di primo accesso alle piattaforme App Store, iTunes Store e A.D.I.L. Books, il Professionista si limita(va) a segnalare la possibilità di utilizzare i dati rinvenienti dalle ricerche e dalla navigazione per migliorare l’esperienza dell’utente, ma non anche finalità commerciali dell’acquisizione di tali dati.

Secondo l’appellante principale l’esito cui è pervenuto il primo giudice avrebbe, in pratica, l’effetto di: (i) rendere irrilevanti condotte ingannevoli solo perché poste in essere prima della stipula di transazioni commerciali, e ciò in palese violazione dell’art. 19, comma 1, del D. L.vo n. 206/2005, che a sua volta recepisce l’art. 3 della direttiva europea n. 29 del 2005; (ii) trasformare l’illecito consumeristico da illecito di pericolo a illecito di danno; (iii) modificare gli elementi costitutivi di un illecito consumeristico di tipo omissivo, posto che l’appellata sentenza fa venir meno l’obbligo del professionista, affermato dalla consolidata giurisprudenza, di assicurare una esaustiva informativa sin dal primo contatto. Il risultato di tale costruzione sarebbe, secondo l’Autorità, il depotenziamento e arretramento della tutela assicurata al consumatore.

L’appellante principale rileva, ancora, che l’appellata sentenza, affermando che l’utente che accede a uno store digitale conosce, o deve conoscere, la natura commerciale delle transazioni che al suo interno possono essere eseguite, mette in discussione la nozione di consumatore medio e il canone della diligenza professionale stabiliti dalla giurisprudenza nazionale ed europea, secondo la quale il consumatore è quello medio normalmente informato e ragionevolmente attento e avveduto, tenendo conto di fattori sociali, culturali e linguistici: tale impostazione rende qualsiasi consumatore non meritevole di ricevere una adeguata informativa solo per il fatto di accedere a uno store, accrescendone gli obblighi di attenzione e, correlativamente, diminuendo gli obblighi informativi a carico del professionista, anche nel caso in cui esso sia un “gigante del mondo digitale”.

9.3. Relativamente alla condotta sub b), l’appellante principale ribadisce che il primo giudice sarebbe incorso in travisamento affermando che “attraverso la creazione dell’ID A.D.I.L. e alla personalizzazione degli Stores non viene effettuata una acquisizione ai fini commerciali dei dati, che presuppone il compimento da parte dell’utente di ulteriori attività”.

L’istruttoria procedimentale avrebbe, infatti, dimostrato che A.D.I.L. aveva pre-impostato la creazione del ID A.D.I.L. con modalità di acquisizione del consenso dell’utente – all’utilizzo di dati anche a fini commerciali – mediante out-put, cioè senza lasciare all’utente la scelta in via preventiva: tale pre-impostazione obbligava l’utente, che non avesse inteso prestare il proprio consenso, a mettere in atto una complessa procedura di disattivazione, di non immediata comprensione.

Secondo l’Autorità questo sistema pre-impostato di fatto scoraggiava la scelta del consumatore di non prestare il consenso, risultando in tal modo “aggressiva”: in particolare l’Autorità sostiene che “La pre-attivazione in questione determina, già di per sé, il trasferimento e l’utilizzo dei dati da parte di A.D.I.L., una volta che questi vengano generati, senza la necessità a tal fine di ulteriori passaggi in cui l’utente possa confermare o modificare la scelta pre-impostata” (cfr. atto d’appello, pag. 21).

L’Autorità evidenzia, inoltre, che nella pagina di primo accesso agli stores era presente il pulsante “continua”, che consentiva al Professionista di acquisire i dati di navigazione senza chiedere un preventivo consenso e senza necessità, a tal fine, di ulteriori passaggi che dessero all’utente la possibilità di modificare la scelta pre-impostata. Inoltre, durante la navigazione negli stores, l’utente riceveva messaggi di promozione (consigli personalizzati, notifiche push e annunci pubblicitari) la cui disattivazione non era di immediata comprensione, e comunque era diversa per ciascuna modalità promozionale.

Secondo l’Autorità, infine, la preselezione del consenso all’utilizzo dei dati, in assenza di una completa informativa circa l’uso degli stessi anche a fini commerciali, è certamente idonea a coartare la libertà di scelta e la libera determinazione del consumatore in violazione degli articoli 24 e 25 cod. cons..

10. A.D.I.L. contesta i motivi d’appello sulla base delle argomentazioni che di seguito si riassumono.

10.1. A.D.I.L. sostiene, in primo luogo, che l’Autorità, con l’atto d’appello, avrebbe sostanzialmente modificato la contestazione di cui al capo a): secondo A.D.I.L. il procedimento e la sanzione finale avrebbero ad oggetto, non già la mera omissione di informazioni, quanto piuttosto una commercializzazione dei dati personali degli utenti, che nel disegno dell’Autorità avverrebbe in maniera indiretta, essendo finalizzata non alla cessione a terzi dei suddetti dati, quanto piuttosto ad ottenere l’aumento del fatturato della vendita dagli stores di A.D.I.L..

In particolare, secondo l’appellata, l’Autorità, con l’atto d’appello, avrebbe per la prima volta effettuato una distinzione tra uso “interno” dei dati, che il gestore può fare per conservare e ampliare la forza di mercato della propria piattaforma (assegnandovi un valore intrinseco), e uso “esterno”, vale dire la cessione a terzi verso corrispettivo dei dati stessi, al fine di sostenere che l’informativa dovuta al consumatore doveva avere ad oggetto proprio l’uso “interno” dei dati.

10.2. La condotta c.d. di “commercializzazione indiretta” sarebbe – secondo A.D.I.L. – del tutto insussistente, poiché al momento della creazione dell’ID A.D.I.L. vengono richiesti dati minimi (nome, cognome, data di nascita e numero di telefono), nessuno dei quali sarebbe utilizzato ai fini di personalizzazione o a fini commerciali.

10.3. A.D.I.L., peraltro, contesta anche l’assunto dell’appellante secondo cui per “decisione di natura commerciale”, rilevante ai fini dell’applicazione delle garanzie previste dal Codice del consumo, dovrebbe intendersi anche la decisione dell’utente di fornire i propri dati personali prima e a prescindere dal compimento di singoli atti di acquisto. Tale affermazione, oltre che costituire una modifica dell’originaria contestazione, sarebbe del tutto destituita di fondamento: sia per la ragione che, ai sensi dell’art. 18 del Codice del Consumo, è tale solo la decisione connessa ad un acquisto a titolo oneroso, sia per la ragione che i dati forniti dagli utenti con la creazione dell’ID A.D.I.L. non sono utilizzati dalla stessa A.D.I.L. per alcuna altra finalità diversa dalla fornitura di tale mero servizio, ragione per cui trova applicazione la deroga prevista dall’art. 135 octies della Direttiva UE/2009/770. La tesi dell’appellante sarebbe quindi radicalmente errata in quanto fondata sull’erroneo presupposto che A.D.I.L. tratti i dati personali forniti dagli utenti già in quel momento e prima dell’accesso agli Store per scopi diversi dalla fornitura del predetto servizio, ivi incluso quello relativo alla asserita attività di personalizzazione.

10.4. Quanto alla informativa, A.D.I.L. rileva che nel corso della configurazione dell’ID A.D.I.L. compare una schermata esplicativa dell’icona Dati & Privacy, accompagnata dalla precisazione che tale icona compare ogni volta in cui l’utente accede per la prima volta a un servizio ed A.D.I.L. abbia necessità di utilizzare dati personali: da tale schermata, cliccando sul link “Scopri come vengono gestiti i tuoi dati…”, il consumatore può ottenere informazioni dettagliate sul tipo di dati raccolti, sulle modalità di utilizzazione degli stessi, su come modificare le preferenze email, etc.

Per quanto riguarda la “personalizzazione” delle email di marketing, A.D.I.L. precisa che essa si attiva solo dopo che l’utente abbia effettuato l’accesso ad uno degli stores, e quindi dopo che l’utente abbia preso visione dell’icona Dati & Privacy relativa al singolo stores: prima di tale momento, e sempre che il consumatore non abbia deselezionato l’opzione relativa al ricevimento di email, comunicazioni, etc, il consumatore riceverà solo email non personalizzate su prodotti e servizi A.D.I.L.. Correttamente, dunque, il TAR ha affermato che la personalizzazione delle email avviene solo in un momento successivo al momento della creazione dell’ID A.D.I.L. e solo sulla base dei dati raccolti a seguito della navigazione all’interno stores.

Nel momento in cui il consumatore intenda accedere ad uno store, compare nuovamente l’icona Dati & Privacy, che indica chiaramente che i dati personali potrebbero essere utilizzati per la personalizzazione dell’esperienza dell’utente e per l’invio di notifiche. Si tratta, comunque di una quantità esigua di dati, che non vengono condivisi tra i diversi stores né vengono ceduti a terzi.

Di conseguenza: (i) pure volendo ritenere possibile una riqualificazione della contestazione di cui al capo a), A.D.I.L. ritiene insussistente l’illecito, sia perché risulta per tabulas che A.D.I.L. ha fornito ai consumatori una informativa multilivello, e ciò fin dal primo contatto, sia perché A.D.I.L. non effettuerebbe alcuna commercializzazione, che dovrebbe costituire l’oggetto della informativa; (ii) neppure si apprezza un illecito in forma commissiva, proprio perché A.D.I.L. non effettua alcuna commercializzazione dei dati personali dei consumatori.

Relativamente alla informativa, A.D.I.L. richiama la giurisprudenza secondo cui i limiti di spazio e la capacità di comprensione dell’utente medio incidono sulla quantità di informazioni che un professionista può fornire ai consumatori, sicché non è necessario che sin dal primo contatto vengano comunicati tutte le informazioni, essendo necessario e sufficiente – ove lo spazio sia limitato – che siano comunicate le informazioni rilevanti ed essenziali: ebbene, A.D.I.L. fornisce le informazioni essenziali già nelle schermate che compaiono rispettivamente durante la fase di creazione dell’ID A.D.I.L. e prima dell’accesso agli stores, mentre una informativa più dettagliata è assicurata mediante link di facile accesso.

10.5. In definitiva, il primo motivo d’appello sarebbe infondato (i) perché implica una contestazione nuova (l’aver omesso di informare gli utenti circa l’uso “interno” dei dati acquisiti nel corso della creazione dell’ID A.D.I.L.), e perché tale nuova contestazione (ii) si fonda su un duplice travisamento (l’equiparazione tra “uso interno” e commercializzazione dei dati personali e l’utilizzo dei dati personali per l’immediata personalizzazione delle email), (iii) e peraltro è anche smentita dalla informativa multilivello assicurata da A.D.I.L., da ritenersi del tutto conforme all’art. 22 del D. L.vo n. 206/2005, come interpretato dalla giurisprudenza

10.6. Relativamente alla condotta di cui al capo B) A.D.I.L. rileva, in primo luogo, che, non essendo attuata alcuna commercializzazione dei dati raccolti nel corso della creazione dell’ID A.D.I.L., non sussisterebbe neppure il presupposto per cui ogni asserita “pre-impostazione” del consenso al trasferimento dei dati personali dei consumatori in fase di creazione dell’ID A.D.I.L. e di accesso agli Store costituirebbe un indebito condizionamento della libertà di scelta dei consumatori.

In secondo luogo A.D.I.L. ribadisce che l’adozione di un sistema di opt-out non sarebbe sufficiente – come già accertato in giurisprudenza e nella stessa casistica dell’AGCM – a integrare il requisito dell’aggressività, necessario per contestare a un professionista la violazione dell’art. 25 del D. L.vo n. 206/2005: la stessa AGCM, nella propria casistica, ha ritenuto condizionante l’adozione di un sistema di opt-out solo in casi particolari, come l’addebito automatico di servizi a pagamento addizionali, o il trasferimento di dati personali ai fini della loro patrimonializzazione, circostanze che non ricorrono nel caso di specie.

In ogni caso, secondo A.D.I.L., il consumatore medio non era indotto ad assumere alcuna decisione commerciale a proprio detrimento, essendo lo stesso consapevole della natura degli stores e delle transazioni che ivi si compivano.

Osservazioni del Collegio.

11. Sui motivi d’appello riguardanti l’illecito di cui al capo a).

11.1. Pregiudiziale all’esame dei motivi riguardanti l’illecito sub A) è la questione, sollevata da A.D.I.L., circa il fatto che l’Autorità avrebbe modificato la contestazione, da una parte rilevando che l’illecito di cui al capo a) punirebbe una omissione di informazioni di natura commerciale, e non già la commercializzazione dei dati personali degli utenti; d’altra parte perché l’Autorità avrebbe, per la prima volta in appello, prospettato che l’uso meramente “interno” dei dati forniti dall’utente all’atto della creazione dell’account ID A.D.I.L., integrerebbe una forma di commercializzazione.

11.1.1. Il Collegio rileva che nella comunicazione di chiusura dell’istruttoria l’Autorità illustra la condotta sub a) sostenendo che A.D.I.L., a partire dalla creazione dell’account ID, acquisisce, progressivamente, dati personali degli utenti, suscettibili di essere utilizzati per inviare loro email promozionali personalizzate, finalizzate a promuovere la vendita di prodotti in vendita sugli stores, ricavandone utilità in termini di commissioni o costi fissi sulla vendita; tale attività promozionale avverrebbe, in primis, mediante email-marketing, e inoltre anche mediante la personalizzazione dei tre Store A.D.I.L., notifiche push e annunci pubblicitari personalizzati. Questa essendo la finalità della acquisizione dei dati degli utenti, l’Autorità (al par. 7 della Comunicazione dell’8/09/2021) assume che “in relazione alle modalità di marketing sopra richiamate A.D.I.L. non evidenzierebbe immediatamente e adeguatamente la finalità commerciale dell’utilizzazione dei dati degli utenti e il loro valore monetario estraibile anche attraverso la vendita di app e servizi degli sviluppatori tramite App Store e gli altri Store della Società come iTunes Store e A.D.I.L. Books: sia nella fase di creazione dell’ID A.D.I.L., …… e nel testo riportato sotto l’icona Data & Privacy… sia nelle fasi successive di accesso ad App Store, iTunes Store e A.D.I.L. Books, in quanto la frase riportata sotto l’icona Data & Privacy farebbe riferimento solo ad un utilizzo dei dati finalizzato ad un miglioramento del servizio offerto e ad una maggiore sicurezza: “Le tue ricerche, la navigazione, gli acquisti e il punteggio di affidabilità del dispositivo possono essere utilizzati per personalizzare la tua esperienza, inviarti notifiche, migliorare App Store e gli altri Store A.D.I.L. online e prevenire frodi. Scopri come vengono gestiti i tuoi dati…Peraltro solo cliccando sul link “Scopri come vengono gestiti i tuoi dati” l’utente accede alla pagina web “App Store e privacy”, in cui sarebbero indicate le modalità di raccolta ed utilizzo dei dati degli utenti e la finalità commerciale ad essi connessa”.

11.1.2. L’impostazione della comunicazione di chiusura del procedimento è stata riprodotta nel provvedimento impugnato e rispetto ad essa non si apprezza, nell’atto d’appello, una diversa contestazione. Si osserva, inoltre, che l’Autorità, sin dalla comunicazione di avvio del procedimento ha censurato una condotta consistente in una omissione di informativa posta in essere sin dalla fase di creazione dell’ID A.D.I.L.; ed anche quello che A.D.I.L. definisce l’uso “interno” dei dati acquisiti – sia nel corso della creazione dell’account ID A.D.I.L. che dopo l’accesso del consumatore agli stores – è stata preconizzata dall’Autorità quantomeno dal momento in cui, con la comunicazione del 31 marzo 2021, ha disposto l’estensione oggettiva del procedimento: ivi l’Autorità chiaramente evidenziava che A.D.I.L. acquisisce i dati degli utenti e li elabora nell’ambito di utilizzazione delle piattaforme commerciali A.D.I.L. “per promuovere prodotti….anche realizzati da soggetti terzi (ad esempio sviluppatori), ricavandone compensi rappresentati dalle commissioni sulla vendita di alcuni di questi prodotti”.

11.1.3. A.D.I.L. erra anche nell’affermare che l’Autorità con l’atto d’appello avrebbe per la prima volta effettuato una distinzione tra uso “interno” dei dati, che il gestore potrebbe effettuare per conservare e ampliare la forza di mercato della propria piattaforma (assegnandovi un valore intrinseco), e uso “esterno”, vale dire la cessione a terzi verso corrispettivo dei dati stessi, al fine di sostenere che l’informativa dovuta al consumatore doveva avere ad oggetto proprio l’uso “interno” dei dati: in realtà l’Autorità nel corso di tutto il procedimento non ha mai prospettato la cessione a terzi dei dati degli utenti, da parte di A.D.I.L., sostenendo piuttosto – come precisato al paragrafo che precede – che A.D.I.L., utilizzando i dati personali degli utenti, li profila, migliora la campagna promozionale dei prodotti venduti sugli stores – questo mediante l’invio di email e comunicazioni di vario tipo personalizzate -, ed in tal modo si assicura una migliore performance delle piattaforme, realizzando guadagni per l’attività di intermediazione svolta, e non per la cessione diretta a terzi dei dati degli utenti.

11.1.4. In conclusione, l’argomento di A.D.I.L., secondo cui l’Autorità con l’atto d’appello avrebbe mutato la contestazione, o quantomeno dato una diversa lettura della condotta descritta al capo a), è destituita di fondamento. Sul punto si rimanda anche ai successivi paragrafi sub 13.1.

11.2. A questo punto, chiarito che la condotta contestata a A.D.I.L. si compendia in una omissione di informazioni, e che le informazioni omesse avrebbero ad oggetto una utilizzazione “a fini commerciali”, da parte di A.D.I.L., di dati acquisiti dagli utenti, occorre chiarire se nel caso di specie sia effettivamente ravvisabile una tale “utilizzazione a fini commerciali”, posto che – come dianzi precisato – nel caso di specie non viene in considerazione una cessione di dati, da parte di A.D.I.L., a terzi, ma solo l’utilizzazione di essi per migliorare i servizi resi da A.D.I.L., tra i quali i servizi resi mediante le piattaforme A.D.I.L. Store, iTunes Store e A.D.I.L. Books: l’utilità che A.D.I.L. riceve dalla acquisizione dei dati, quindi, in via diretta è costituita dal miglioramento delle performance delle indicate piattaforme e dall’accrescimento della possibilità che gli utenti che vi accedono acquistino dei prodotti, e in via indiretta dai compensi che A.D.I.L. riceverebbe, a titolo di commissione, dai produttori dei beni o servizi compravenduti sulle citate piattaforme.

11.2.1. Occorre rilevare, in primo luogo, che non risulta che A.D.I.L. abbia mai contestato, nel corso del procedimento e in sede giudiziale, di ricevere compensi sulle transazioni che gli utenti effettuano sulle piattaforme A.D.I.L. Store, iTunes Store e A.D.I.L. Books: questo dato, pertanto, può ritenersi incontestato. Del resto l’Autorità, nel provvedimento impugnato (parr. 37 e segg.), indica con precisione i documenti i quali dimostrerebbero che A.D.I.L., attraverso le indicate piattaforme, svolge un’attività di distribuzione e/o vendita di prodotti propri, ma anche di intermediazione per la distribuzione e/o vendita di prodotti di soggetti terzi: si tratta, in particolare, del Developer Program License Agreement (ossia il Contratto di Licenza del Programma A.D.I.L. per gli Sviluppatori), in base al quale i c.d. sviluppatori si impegnano a corrispondere a A.D.I.L. una commissione annuale di 99 US$ nonché una commissione ogni volta in cui un utente scarichi, da A.D.I.L. Store, una applicazione a pagamento o effettui un acquisto: la commissione è pari al 30% per gli acquisti una tantum o per il primo anno degli abbonamenti e al 15% per i rinnovi degli abbonamenti. Meccanismi analoghi regolano le vendite sulle piattaforme iTunes Store e A.D.I.L. Books.

11.2.2. Ciò chiarito, è evidente che l’oggetto dell’informativa omessa è tutta quella elaborazione dei dati degli utenti che serve a profilarli e che consente la “patrimonializzazione” dei dati medesimi.

Che tali dati non vengano fatti oggetto di cessione a terzi e che, pertanto, A.D.I.L. non consegua un profitto dalla vendita diretta dei dati degli utenti, non significa che questi dati siano privi di un valore intrinseco. I dati personali sono idonei a identificare un individuo e il relativo patrimonio e proprio per tale ragione sono frequentemente oggetto di furto o di utilizzazione abusiva da parte di persone che intendono sfruttare, per i motivi più vari, l’altrui identità. Per questa ragione si può affermare che i dati personali costituiscono beni immateriali che possiedono un valore intrinseco, indipendente, cioè, dal valore che sarebbe ritraibile a seguito di una contrattazione di mercato. Il fatto stesso che si sia sentita, a livello nazionale ed europeo, la necessità di adottare una legislazione di tutela dei dati personali presuppone che essi possiedono un valore intrinseco, prima ed a prescindere dall’uso che ne sia fatto sul mercato, e proprio per tale ragione essi vanno tutelati “a priori”. Peraltro, è evidente che nella attuale economia la “patrimonializzazione” dei dati personali, da parte di professionisti come A.D.I.L., non fa che accrescere il suddetto valore intrinseco, dal momento che ne aumenta in modo concreto e notevole le possibilità di uno sfruttamento economico lecito.

11.2.3. Da questo punto di vista il Collegio osserva che la presente controversia non presenta significative differenze rispetto al caso già deciso dalla Sezione con la sentenza n. 2631 del 29 marzo 2021. A prescindere dalla considerazione che la contestazione era formulata, in quel caso, in termini pressoché identici rispetto al capo a) del provvedimento impugnato nella presente sede, occorre rilevare che nella presente controversia, come quella decisa dall’indicato precedente, “non viene in emersione la commercializzazione del dato personale da parte dell’interessato, ma lo sfruttamento del dato personale reso disponibile dall’interessato in favore di un terzo soggetto che lo utilizzerà a fini commerciali, senza che di tale destino l’interessato conosca in modo compiuto le dinamiche, fuorviato peraltro dalle indicazioni che derivano dalla lettura delle condizioni di utilizzo (come nel caso di specie) di una “piattaforma informatica”. In altre parole il rimprovero rivolto al professionista consisterebbe nel non aver informato l’utente, che in questo caso si trasforma tecnicamente in “consumatore”, nel momento in cui rende disponibili i propri dati al fine di potere utilizzare gratuitamente i servizi offerti dalle società FB, prima di tale operazione, nell’ambito della quale l’utente resta convinto che il conseguimento dei vantaggi collegati con l’accesso alla piattaforma sia gratuito, non potendo quindi riconoscere ed accorgersi che a fronte del vantaggio si realizza una automatica profilazione ad uso commerciale, non chiaramente ed immediatamente indicata, all’atto del primo accesso, quale inevitabile conseguenza della messa a disposizione dei dati.” (cfr. sentenza n. 2631/2021, paragrafi 8 e 9).

11.3. Il Collegio osserva, quindi, che la decisione dell’utente di fornire i propri dati, all’atto della creazione dell’ID A.D.I.L., integra una “decisione di natura commerciale” rilevante ai fini dell’applicazione dell’art. 21 del D. L.vo n. 206/2005.

11.3.1. La definizione che l’art. 18, comma 1, lett. m), del D. L.vo n. 206/2005, fornisce di “decisione di natura commerciale”, comprende anche la decisione del consumatore relativa a “se tenere un prodotto o disfarsene”: l’utilizzazione del verbo “disfarsi” (“se defaire”, nella versione francese della Direttiva n. 29/2005, art. 2, lett. k) è particolarmente significativa, perché indica che può trattarsi anche di una decisione del consumatore non finalizzata al conseguimento di un controvalore immediato, quale corrispettivo della messa a disposizione dei propri dati personali. Ne consegue che la natura “commerciale” della decisione non è correlata al conseguimento, per il consumatore, di un profitto/prezzo immediato, ma deve essere valutata in base all’intrinseco valore del “prodotto”, così che la decisione di “disfarsi” di esso prodotto implica la rinuncia, da parte del consumatore, al relativo valore.

11.3.2. Merita anche rammentare che, ai sensi dell’art. 2, lett. c), della Direttiva n. 29/2005 e dell’art. 18, comma 1, lett. c), del D. L.vo n. 206/2005, costituisce “prodotto” qualsiasi bene o servizio, compresi “i servizi digitali e il contenuto digitale”; pertanto anche i dati personali degli utenti-consumatori, in virtù del valore intrinseco che essi possiedono, ben possono essere considerati quale “prodotto” ai sensi del D. L.vo n. 206/2005.

11.3.3. Erra, dunque, A.D.I.L., quando sostiene che una “decisione di natura commerciale” rilevante ai fini dell’applicazione dell’art. 21 del D. L.vo n. 206/2005 deve essere necessariamente connessa ad una transazione effettuata a titolo oneroso: erra nel senso che una simile decisione non richiede necessariamente una controprestazione a favore del consumatore, potendo compendiarsi anche in una cessione, di valore, non compensata da una controprestazione.

11.3.4. Ugualmente non pertinente è il richiamo che A.D.I.L. effettua all’art. 3, comma 1, della Direttiva n. 2019/770, recepito nell’art. 135 octies del D. L.vo n. 206/2005, secondo cui la Direttiva medesima “..si applica altresì nel caso in cui l’operatore economico fornisce o si impegna a fornire contenuto digitale o un servizio digitale al consumatore e il consumatore fornisce o si impegna a fornire dati personali all’operatore economico, fatto salvo il caso in cui i dati personali forniti dal consumatore siano trattati esclusivamente dall’operatore economico ai fini della fornitura del contenuto digitale o del servizio digitale a norma della presente direttiva o per consentire l’assolvimento degli obblighi di legge cui è soggetto l’operatore economico e quest’ultimo non tratti tali dati per scopi diversi da quelli previsti.”: si tratta di previsione che deve essere letta unicamente quale norma deputata ad individuare il campo di rilevanza della Direttiva n. 770/2019, la quale disciplina alcuni aspetti dei contratti aventi ad oggetto la fornitura di contenuto digitale e di servizi digitali. E il fatto che la citata Direttiva non si applichi alle cessioni di dati personali non accompagnate da controprestazioni non significa affatto che tali dati non abbiano valore intrinseco e che la relativa cessione sia priva di rilevanza economica.

11.3.5. Di contro, quanto dianzi rilevato conferma la correttezza di quanto sostiene l’Autorità, circa il fatto che la tutela apprestata dal Codice del Consumo si riferisce anche alla decisione dell’utente di fornire propri dati personali prima e a prescindere dal compimento di singoli atti di acquisto: ciò proprio per quanto sopra detto circa il fatto che ai dati personali deve essere riconosciuto un valore intrinseco, ragione per cui la decisione del titolare di cederli, o comunque di metterli a disposizione di terzi, costituisce una “decisione di natura commerciale” rilevante ai sensi dell’applicazione del Codice del consumo.

11.4. A questo punto, al fine di stabilire se la condotta omissiva contestata a A.D.I.L. nel capo A) implichi violazione degli artt. 21 e 22 del D. L.vo 206/2005, si deve verificare (i) se a A.D.I.L. sia ascrivibile una “pratica commerciale”, rilevante ai sensi delle norme citate; (ii) e se tale pratica commerciale possa considerarsi ingannevole, per aver condizionato i consumatori nella decisione, di natura commerciale, di fornire i propri dati personali.

11.4.1. Merita preliminarmente ricordare che per “pratica commerciale” si intende (cfr. art. 18, comma 1, lett. d), Codice del Consumo) “qualsiasi azione, omissione, condotta o dichiarazione, comunicazione commerciale ivi compresa la pubblicita’ e la commercializzazione del prodotto, posta in essere da un professionista, in relazione alla promozione, vendita o fornitura di un prodotto ai consumatori”.

11.4.2. L’Autorità, al capo A), addebita a A.D.I.L. di aver “Attraverso la creazione dell’ID A.D.I.L.”, acquisito i dati personali e di utilizzo dei servizi dell’utente: si tratta quindi di stabilire se la procedura che deve essere implementata per creare un account ID A.D.I.L. integri una “pratica commerciale” ai sensi del citato art. 18, comma 1, lett. d).

11.4.3. A fronte della estrema ampiezza della su riportata definizione di “pratica commerciale”, il Collegio ritiene che la procedura richiesta per creare un account ID A.D.I.L. ben possa essere qualificata in termini di pratica commerciale. Ciò in quanto: (i) la definizione di cui all’art. 18, comma 1, lett. d), citato, consente di comprendervi qualsiasi azione posta in essere da un professionista “in relazione alla …fornitura di un prodotto”, senza alcuna precisazione circa il fatto che la fornitura debba essere a pagamento; (ii) la nozione di “prodotto” comprende i beni immateriali e i servizi, anche di tipo digitale; (iii) un account ID A.D.I.L. è un prodotto in sé, di natura digitale, strumento necessario per accedere al servizio iCloud, oltre che strumento utile per accedere e navigare sulle altre piattaforme A.D.I.L., di natura più squisitamente commerciale.

11.4.4. Non rileva in sé, ai fini di ritenere la sussistenza di una pratica commerciale, la circostanza che A.D.I.L. inviasse, o meno, email “personalizzate”, o altri messaggi di vario tipo “personalizzati”, finalizzati a promuovere l’acquisto di un prodotto venduto su una delle piattaforme A.D.I.L.: l’invio di simili messaggi rileva piuttosto nella misura in cui dimostra che A.D.I.L. utilizza i dati degli utenti/consumatori per una attività finalizzata ad implementare la performance delle piattaforme da essa gestite, cioè quella attività altrimenti indicata come “patrimonializzazione” dei dati personali dei consumatori.

11.4.5. Chiarito che la procedura di creazione di un account ID A.D.I.L. deve qualificarsi in termini di “pratica commerciale” rilevante ai sensi dell’applicazione degli artt. 21 e 22 del Codice del Consumo, occorre verificare se siano ravvisabili i profili di ingannevolezza individuati dall’Autorità, consistenti nella mancata prospettazione, nel corso della procedura di creazione dell’account, del possibile utilizzo dei dati traibili dall’account per fini commerciali.

11.4.6. In punto di fatto risulta che:

– nel corso della creazione dell’account ID A.D.I.L. si apriva una prima schermata che richiedeva l’inserimento di nome, cognome, paese d’origine, data di nascita, email, password, numero di telefono dell’utente/consumatore; comparivano anche due caselle preselezionate relative al ricevimento di “Comunicati. Ricevi comunicati, consigli e aggiornamenti su prodotti A.D.I.L., servizi e software”, nonché al ricevimento di “App, musica, TV e altro. Ricevi ultime uscite, contenuti esclusivi, offerte speciali e consigli per app, musica, film, programmi TV, libri, podcast, A.D.I.L. Pay e altri”;

– quindi, in fondo alla schermata, e al di sopra del tasto “CONTINUA”, che serviva per completare il processo di creazione dell’ID A.D.I.L., appariva l’icona Dati & Privacy, sotto la quale si leggeva la seguente dicitura: “Le informazioni relative al tuo A.D.I.L. Account vengono usate per permetterti di accedere in tutta sicurezza al tuo account e ai tuoi dati. A.D.I.L. memorizza alcuni dati a scopo di sicurezza, supporto e resoconto”; a fianco compariva il link “Scopri come vengono gestiti i tuoi dati”, che consentiva di aprire una nuova schermata in cui si precisava: “E-mail marketing. Potresti ricevere tali comunicazioni via e-mail, se hai fornito il consenso a ricevere e-mail di marketing. Puoi modificare le preferenze relative alle e-mail e disattivarne la ricezione andando su A.D.I.L.id.A.D.I.L..com oppure, su iOS o iPadOS, andando in Impostazioni > [Il tuo nome] > Nome, numeri di telefono, e-mail. (https://www.A.D.I.L..com/legal/privacy/data/it/A.D.I.L.-id/)”.

11.4.7. E’ evidente che la prima schermata che si apriva, nel corso della creazione dell’account ID A.D.I.L., non conteneva il minimo cenno circa il fatto che i dati degli utenti avrebbero potuto essere utilizzati per l’invio di messaggi promozionali “personalizzati”, né spiegava a partire da quale momento questo utilizzo dei dati avrebbe preso avvio (cioè dal momento in cui l’utente/consumatore avesse effettuato il primo accesso alle piattaforme).

11.4.8. La mancata somministrazione di tali informazioni, sin dalla prima schermata che si apriva nel corso della creazione dell’account ID A.D.I.L., era idonea a condizionare la decisione degli utenti/consumatori di creare l’account, fornendo i propri dati: non si può infatti escludere che un consumatore, cosciente del fatto che i suoi dati avrebbero potuto essere utilizzati per la sua profilazione, avrebbe rinunciato a creare l’account, sia al fine di non ricevere in continuazione messaggi promozionali, ma anche per la ragione che la profilazione non necessariamente consente al consumatore di essere raggiunto dalle migliori offerte. Basti pensare che lo stesso consumatore, effettuando una ricerca per l’acquisto di un prodotto, con il proprio account o navigando “in incognito”, può ricevere offerte significativamente diverse anche sullo stesso prodotto e dallo stesso rivenditore, sovente più vantaggiose durante la navigazione “in incognito”: ciò, in particolare, quando l’utente, in ragione di acquisti precedentemente effettuati, sia stato profilato come utente caratterizzato da una certa disponibilità economica. Vari browser, quindi, da anni includono tra le proprie utilità anche quella di poter effettuare la navigazione “in incognito”, anche al fine di consentire all’utente l’esecuzione di ricerche web che non siano influenzate algoritmicamente dalle precedenti abitudini di navigazione o dagli interessi registrati dell’utente.

11.4.9. Il fatto che una parte degli utenti utilizzi la navigazione “in incognito” per effettuare shopping online dimostra che esistono utenti che non desiderano essere profilati, sia perché intendono mantenere riservatezza sugli acquisiti effettuati, sia perché desiderano ricevere offerte non condizionate algoritmicamente: e ciò consente di affermare che la decisione di cedere i propri dati personali, nel corso della creazione di un account, come avveniva con l’ID A.D.I.L., può essere influenzata dal fatto di sapere che i propri dati possono essere utilizzati per la profilazione.

11.4.10 Sotto questo profilo, anche una comunicazione che si limiti a rendere l’utente/consumatore edotto della possibilità di ricevere comunicazioni di marketing “personalizzate” non è ancora idonea a far comprendere le conseguenze, immediate o possibili, della cessione dei propri dati, anche perché la profilazione degli utenti, che è quella che consente il miglioramento delle performance di vendita delle piattaforme digitali, utilizza l’intelligenza artificiale, della quale il grande pubblico intende parlare solo da pochi anni (praticamente da quando, nel 2022, Chat GPT è stata lanciata sul mercato). Non poteva quindi presumersi, almeno all’epoca di adozione del provvedimento impugnato, che il consumatore medio fosse in grado di intendere le conseguenze della cessione di dati personali, in termini di profilazione, semplicemente per il fatto di essere avvisato del ricevimento di comunicazioni di marketing.

11.4.11. Quanto al fatto che la profilazione dei consumatori non inizia con la creazione dell’ID A.D.I.L., ma solo nel momento, meramente eventuale, in cui l’utente/consumatore decida di accedere ai vari Store A.D.I.L. online, si tratta di questione fuorviante, perché fa perdere di vista alcuni importanti elementi di valutazione, ovvero:

(i) il fatto che, creando l’account ID A.D.I.L., l’utente/consumatore metteva A.D.I.L. in condizione di avere i suoi dati immediatamente disponibili per la successiva elaborazione a fini commerciali: con la creazione dell’account, dunque, i dati già uscivano dall’esclusiva sfera di controllo dell’utente, e proprio per questo – come argomentato al precedente paragrafo 11.3 – la creazione dell’ID A.D.I.L. integrava una “cessione di dati” e, al contempo, una “decisione di natura commerciale”;

(ii) nessuna profilazione del consumatore poteva avvenire in mancanza dei suoi dati di base, cioè il nome e cognome, l’età, e il paese di residenza: la creazione dell’ID A.D.I.L., da questo punto di vista, costituiva un tassello indispensabile per la profilazione dell’utente e per la “patrimonializzazione” dei suoi dati personali; ragione per cui il pretendere di non dare una informativa esaustiva sin dall’atto di cessione di tali dati, in nome del fatto che i dati in quel momento non erano ancora utilizzati per la profilazione e per il marketing personalizzato, significa parcellizzare artificiosamente quello che è un unico processo, che porta ad una graduale e progressiva acquisizione di dati personali e alla loro elaborazione;

(iii) proprio per il fatto che la creazione dell’ID A.D.I.L. consentiva – come si leggeva in alto, sulla prima schermata – “di accedere a tutti i servizi A.D.I.L.” (cfr. figura riprodotta nel par. 27 del provvedimento impugnato), è evidente che l’utente che creava un ID A.D.I.L. era già propenso a fruire di questi altri servizi; non è pertanto corretto – ed è anzi pretestuoso – prospettare l’accesso a questi ulteriori servizi, e l’elaborazione dei dati personali che ne conseguiva, come una mera eventualità, quasi ipotetica, tale da giustificare l’omissione, sin dalla prima schermata, delle informazioni necessarie a far comprendere all’utente l’uso che dei suoi dati avrebbe potuto fare A.D.I.L.: id est, una elaborazione utile a profilare l’utente, profilazione necessaria per aumentare le vendite sulle piattaforme;

(iv) nel corso della creazione dell’ID A.D.I.L. l’utente non veniva informato del fatto che l’elaborazione dei suoi dati personali avrebbe avuto inizio con l’accesso agli A.D.I.L. store, né del se e come avrebbe potuto disattivare l’account, in tal modo revocando il consenso all’utilizzazione dei suoi dati personali.

11.4.12. L’insieme delle considerazioni svolte nei paragrafi che precedono porta ad affermare che A.D.I.L., nella prima schermata che si apriva nel corso della creazione di un account ID A.D.I.L., non metteva a disposizione dell’utente importanti informazioni che potevano condizionare la sua decisione di creare, o meno, l’account stesso.

11.4.13. Va, a questo punto, rammentato che costituisce principio consolidato nella giurisprudenza della Sezione quello secondo cui l’obbligo di estrema chiarezza gravante sul professionista deve essere da costui assolto sin dal primo contatto, attraverso il quale debbono essere messi a disposizione del consumatore gli elementi essenziali per un’immediata percezione della offerta pubblicizzata (cfr., fra le tante, Cons. Stato, Sez. VI, 29 marzo 2021 n. 2631; Cons. Stato, Sez. VI, 14 ottobre 2019 n. 6984; 15 luglio 2019 n. 4976 e 23 maggio 2019 n. 3347). L’informativa “multilivello” fornita da A.D.I.L. non rispetta questo principio: (i) perché richiedeva all’utente di aprire il link presente sulla prima schermata, che apriva una nuova schermata in cui l’utente era informato solo del fatto che avrebbe potuto ricevere e-mail di marketing e che avrebbe potuto disattivare il servizio di ricezione di email; (ii) perché richiedeva all’utente di accedere agli A.D.I.L. stores, aprendo i link ivi presenti sotto all’icona Dati & Privacy, per ottenere maggiori informazioni circa il modo in cui sarebbero stati utilizzati i dati rinvenienti dall’uso della piattaforma da parte dell’utente.

11.4.14. Ad esonerare A.D.I.L. dall’obbligo di fornire una informativa più esaustiva non può soccorrere neppure il fatto che lo spazio disponibile, sulla prima schermata, per l’informativa fosse ridotto: infatti A.D.I.L. ben avrebbe potuto, prima del tasto “CONTINUA”, mettere a disposizione una schermata intera per veicolare le informazioni necessarie.

11.4.15. In conclusione, nella pratica commerciale oggetto di esame, posta in essere da A.D.I.L. per la creazione dell’account ID A.D.I.L. (oggi sostituito da A.D.I.L. account, che già reca una informativa della privacy più specifica: “Le informazioni relative al tuo A.D.I.L. Account vengono usate per permetterti di accedere in tutta sicurezza al tuo account e ai tuoi dati. A.D.I.L. registra alcuni dati per motivi di sicurezza, per fornire supporto e per creare resoconti. Se accetti, A.D.I.L. potrebbe anche usare le informazioni del tuo A.D.I.L. Account per inviarti email di marketing e comunicati, anche in base al tuo utilizzo dei servizi A.D.I.L.”), A.D.I.L. è incorsa in una omissione di informazioni, rilevanti in quanto idonee a condizionare la decisione dell’utente di creare l’ID A.D.I.L., che comportava l’immediata cessione dei propri dati personali di base. La pratica commerciale in questione deve, conseguentemente, ritenersi ingannevole, ai sensi e per gli effetti dell’art. 22 del D. L.vo n. 206/2005.

11.5. Alla luce delle considerazioni che precedono l’appello va accolto relativamente alla contestazione di cui al capo A), che deve ritenersi fondata.

12. Sui motivi d’appello riguardanti l’illecito di cui al capo b).

12. 1. Diverso discorso deve essere fatto relativamente alla contestazione di cui al capo B), con il quale l’Autorità ha contestato ad A.D.I.L. di aver posto in essere una pratica commerciale aggressiva, ai sensi dell’art. 25 del D. L.vo n. 206/2005, per il fatto di aver preimpostato il consenso a ricevere comunicazioni, mail, etc.

12.2. Merita rammentare che l’art. 24 del Codice del Consumo definisce aggressiva la pratica commerciale “che, nella fattispecie concreta, tenuto conto di tutte le caratteristiche e circostanze del caso, mediante molestie, coercizione, compreso il ricorso alla forza fisica o indebito condizionamento, limita o è idonea a limitare considerevolmente la libertà di scelta o di comportamento del consumatore medio in relazione al prodotto e, pertanto, lo induce o è idonea ad indurlo ad assumere una decisione di natura commerciale che non avrebbe altrimenti preso“. L’art. 25 elenca una serie di criteri che assistono nella individuazione delle pratiche commerciali aggressive, mentre il successivo art. 26 elenca una serie di condotte da considerarsi in ogni caso tali. L’esame congiunto degli artt. 24, 25 e 26 conduce ad affermare che le pratiche commerciali aggressive di cui all’art. 25, comma 1, lett. d), e dell’art. 26 comma 1, lett. f), Codice del consumo, non sono necessariamente connotate dal ricorso alla violenza fisica o verbale, ma sono certamente accomunate dal fatto che il consumatore viene a trovarsi in situazione di stress che lo condiziona nel decidere e tale stress può essere determinato sia da condotte del professionista ripetute e irriguardose della volontà del cliente, sia dall’esistenza di vincoli contrattuali percepiti come opprimenti.

12.3. Nel caso di specie l’aggressività della condotta sarebbe desumibile dalla pre-impostazione della piattaforma circa il consenso a ricevere comunicazioni di marketing, nonché dal fatto che tale impostazione avrebbe potuto essere disattivata dall’utente solo seguendo una procedura complessa e di non intuitiva comprensione. Tuttavia in tale modalità non può scorgersi quel carattere oppressivo che invece accomuna le condotte descritte agli artt. 25 e 26. E del resto la Sezione, con la già citata sentenza n. 2631 del 29 marzo 2021, ha ritenuto che la pre -attivazione di una piattaforma di social network (nella specie, Facebook) in modo da determinare per default un’autorizzazione generale all’impiego dei dati personali non è sufficiente, in quanto sia seguita da una serie di passaggi in cui l’utente è chiamato a decidere se e quali dati condividere, a integrare l’aggressività di una pratica nei confronti dei consumatori, che ricorre quando essa provochi la manipolazione concreta della volontà dell’utente, coartandone il comportamento.

12.4. Il Collegio, conclusivamente, ritiene l’appello dell’Autorità infondato, relativamente alla contestazione di cui al capo B), tenuto conto del fatto che tale condotta è stata sanzionata ai sensi degli artt. 24 e 25 del D. L.vo n. 206/2005, e non ai sensi degli artt. 21 e 22, come pratica commerciale scorretta.

13. Sui motivi di primo grado riproposti da A.D.I.L. ai sensi dell’art. 101, comma 2, c.p.a.

13.1. Con l’ottavo motivo del ricorso di primo grado A.D.I.L. deduce che, anche a voler ritenere che l’informativa fornita da A.D.I.L. fosse incompleta o fuorviante, essa non sarebbe stata idonea ad incidere sul comportamento del consumatore medio interessato, e pertanto non potrebbe essere qualificata in termini di pratica commerciale sleale o ingannevole. Sul punto A.D.I.L. richiama precedenti di questo Consiglio secondo cui il comportamento del consumatore medio deve essere valutato in relazione alla peculiarità dei prodotti offerti. Nel caso di specie il comportamento del consumatore medio non sarebbe stato alterato dalla Condotta di A.D.I.L. poiché il consumatore ragionevolmente attento e circospetto comprende facilmente la natura commerciale delle email di marketing e degli Store, e in particolare la circostanza che i dati possono essere utilizzati per la “personalizzazione”.

13.1.1. La censura deve essere respinta alla luce di quanto rilevato ai paragrafi che precedono, e in particolare ai paragrafi 11.4.8 e seguenti: nel momento in cui il consumatore creava l’account ID A.D.I.L. riceveva una informativa del tutto insufficiente, poiché solo al momento dell’accesso alle piattaforme commerciali il consumatore veniva reso edotto del fatto che i suoi dati personali sarebbero stati utilizzati per la “personalizzazione” dei messaggi di marketing. L’uso dei dati personali degli utenti per la profilazione non veniva chiaramente evocato e spiegato né all’accesso agli Store né al momento di creazione dell’ID A.D.I.L..

13.1.2. Ad avviso del Collegio il termine “personalizzazione” non era idoneo a far comprendere immediatamente, al consumatore medio, cosa realmente si celasse dietro a tale termine: ovvero, la “profilazione”, e quindi il fatto che gli acquisiti effettuati dal consumatore sarebbero stati registrati, tracciati e memorizzati, al fine di indirizzarlo verso certe tipologie di acquisiti: il Collegio perviene a tale conclusione sul rilievo che la suddetta elaborazione di dati personali implica il ricorso a meccanismi di intelligenza artificiale che sono conosciuti al grande pubblico solo da tempi recenti.

13.1.3. Conseguentemente deve affermarsi che con riferimento all’epoca di adozione del provvedimento impugnato non è possibile affermare che il consumatore medio fosse in grado di comprendere, senza una informativa adeguata, l’uso che sarebbe stato fatto dei suoi dati personali. Come già osservato, inoltre, il consumatore medio avrebbe ben potuto essere scoraggiato dall’aprire un account ID A.D.I.L., ove avesse conosciuto in dettaglio l’uso che A.D.I.L. avrebbe fatto dei suoi dati.

13.1.4. La censura va, in conclusione, respinta.

13.2. A.D.I.L. ha anche riproposto il decimo motivo dell’originario ricorso, con cui si prospetta la violazione dell’art. 3 della L. n. 689/81, sul presupposto che l’AGCM avrebbe irrogato ad A.D.I.L. la sanzione in assenza dell’elemento soggettivo di colpevolezza: ciò in relazione al fatto che le condotte contestate ad A.D.I.L. rappresenterebbero l’esercizio di diritti e facoltà espressamente riconosciute dalla normativa UE in materia di tutela della privacy. A.D.I.L., dunque, avrebbe agito nella piena e assoluta convinzione di porre in essere condotte legittime.

13.2.1. La censura è infondata per le ragioni che saranno meglio illustrate ai paragrafi 14.2. e seguenti, in occasione della disamina del terzo motivo d’appello incidentale.

14. Sull’appello incidentale condizionato proposto da A.D.I.L..

La parziale fondatezza dell’appello dell’Autorità e quindi la necessità di riformare l’appellata sentenza relativamente alla sanzione di cui al capo a) determina la necessità di esaminare l’appello incidentale condizionato presentato da A.D.I.L..

14.1. Il Collegio ritiene di principiare la disamina dal secondo motivo d’appello incidentale, con il quale A.D.I.L. deduce l’erroneità della appellata sentenza nella parte in cui essa ha respinto l’originario secondo motivo di ricorso, con cui A.D.I.L. lamentava che l’Autorità aveva più volte, nel corso del procedimento, mutato la contestazione.

14.1.1. A tale proposito A.D.I.L. deduce che l’Autorità, con la comunicazione di estensione oggettiva del procedimento del 3 marzo 2021, contestava una condotta ingannevole relativa agli Store, “senza fare espresso riferimento alla configurazione dell’ID A.D.I.L.”, mentre relativamente alla condotta B, l’AGCM contestava una “pratica aggressiva” limitatamente al sistema opt-out in relazione alle e-mail di marketing di A.D.I.L. nel contesto della configurazione dell’ID A.D.I.L., senza dunque fare riferimento agli Store. Nel settembre 2021, con la comunicazione di chiusura dell’istruttoria, l’Autorità avrebbe ulteriormente modificato la contestazione, affermando che (i) l’informativa fornita agli utenti durante la fase di configurazione dell’ID A.D.I.L. potesse rappresentare una pratica ingannevole, includendola tra le contestazioni di cui alla Condotta A, e tralasciando il riferimento, contenuto nella comunicazione di avvio del procedimento, alle condotte riconducibili al servizio di iCloud; e che (ii) la pre-impostazione del consenso dei consumatori alla raccolta e trattamento dei loro dati relativamente agli Store col sistema opt-out potesse essere inclusa tra le pratiche aggressive di cui alla Condotta B. Tali modifiche costituirebbero, secondo A.D.I.L., violazione del divieto di mutatio libelli nel corso dell’attività istruttoria, divieto che trova la sua ragion d’essere nella necessità di mettere la parte in condizione di partecipare in modo consapevole al procedimento. In particolare, tenuto conto che il servizio di iCloud e i servizi forniti con gli A.D.I.L. stores sono di natura radicalmente diversa (servizio di archiviazione il primo, di vendita di prodotti gli altri), secondo A.D.I.L. sarebbe del tutto inaccettabile il “cambio di rotta” compiuto dall’Autorità.

14.1.2. Deve preliminarmente rilevarsi l’improcedibilità sopravvenuta del motivo con riferimento alla asserita modificazione della contestazione sub B), tenuto conto del fatto che la sanzione irrogata per tale condotta è stata annullata con l’appellata sentenza, che sul punto viene confermata.

14.1.3. In punto di fatto il Collegio osserva che:

– nella comunicazione di avvio del procedimento, del 20 agosto 2020, l’Autorità formulava la contestazione nei seguenti termini: “violazione degli artt. 20, 21 e 22 del Codice del Consumo, in quanto il Professionista in fase di attivazione del servizio iCloud non informerebbe adeguatamente e immediatamente l’utente dell’attività di raccolta e utilizzo, a fini commerciali, dei dati che egli fornisce, rendendolo edotto della sola gratuità del servizio fino a una determinata soglia, in tal modo inducendolo ad assumere una decisione di natura commerciale che non avrebbe altrimenti preso”;

– con nota del 3 marzo 2021 l’Autorità disponeva una estensione oggettiva del procedimento, prospettando (al punto 11) “una pratica commerciale ingannevole (condotta sub a) in violazione degli artt. 20, 21 e 22 del Codice del Consumo, qualora risulti accertata l’omissione di qualsiasi immediata e chiara indicazione sulla raccolta dei dati dell’utente e sulla sua finalità commerciale nella fase di utilizzo dei servizi…..”. Tale contestazione veniva preceduta dalla precisazione che gli utenti che intendevano utilizzare i servizi A.D.I.L. “devono creare un ID A.D.I.L. accedendo alla pagina…….Nella stessa pagina agli utenti non viene chiesto solo il consenso alla ricezione di annunci su prodotti e servizi A.D.I.L. per consentire alla Società lo svolgimento di un’attività di marketing diretto, ma anche il consenso per la ricezione di consigli su contenuti, app e musica..” nonché dalla ulteriore precisazione (punti 8 e segg.) che “per svolgere tale attività di marketing indiretto, la Società, dunque, acquisisce i dati degli utenti, li elabora e li utilizza nell’ambito di tali piattaforme commerciali….per promuovere prodotti…..I dati di ogni utente possono infatti essere analizzati per suggerire risultati specifici di ricerche, così come i contenuti visualizzati o scaricati possono essere utilizzati per suggerire funzionalità personalizzate…..Non sarebbe, dunque, fornita agli utenti alcuna adeguata informativa su tale aspetto, in particolare nessun esplicito richiamo viene fatto in sede di accesso ai singoli servizi alla raccolta e all’utilizzazione dei dati e al loro valore ricavabile dalla Società……né sarebbe consentito al consumatore in sede di creazione dell’ID A.D.I.L. di esprimere liberamente e consapevolmente il proprio consenso per l’utilizzo di dati a fini commerciali a causa della prefleggatura della casella prevista per la ricezione di contenuti su app, tv e musica….”;

– con nota dell’8 settembre 2021 l’Autorità comunicava la conclusione dell’istruttoria. Ivi la condotta sub a) veniva definitivamente formulata nei seguenti termini “per le carenze informative in merito alla cessione dei dati dell’utente ad A.D.I.L. a fini commerciali e di profilazione, anche per l’utilizzo nell’ambito dell’A.D.I.L. Store e degli altri Store A.D.I.L.. Attraverso la creazione dell’ID A.D.I.L., indispensabile per l’uso di tutti i dispositivi e i servizi offerti da A.D.I.L., e per l’accesso alla piattaforma App Store e agli altri Store A.D.I.L., verrebbero acquisiti i dati personali e di utilizzo dei servizi dell’utente per una loro utilizzazione a fini commerciali direttamente dalla Società, senza portarne a conoscenza in maniera adeguata i consumatori stessi”; con tale nota l’Autorità comunicava che il procedimento si sarebbe concluso entro i successivi 210 giorni, e assegnava alla parte termine entro il 23 marzo 2021 per il deposito di memorie; inoltre l’Autorità comunicava che avrebbe chiesto il parere dell’AGCOM, indicando l’ufficio competente per esercitare l’accesso agli atti;

– le contestazioni riportate nella comunicazione di chiusura dell’istruttoria sono state pedissequamente riportate nel provvedimento impugnato.

14.1.4. Il Collegio ritiene che nella comunicazione che disponeva l’estensione oggettiva del procedimento fosse già compresa, seppure non esplicitata, la contestazione formulata in via definitiva nella comunicazione di chiusura istruttoria: è infatti evidente che con tale estensione l’Autorità intendeva contestare a A.D.I.L. la non adeguata informazione dell’utente circa l’uso, a fini di profilazione e di commercializzazione, di tutti i dati, cioè anche i dati acquisiti nel corso della creazione dell’ID A.D.I.L.: del resto, come già precisato, nessun dato dell’utente ritraibile dall’accesso di questi agli A.D.I.L. Store sarebbe stato utilizzabile per profilazione se non previa acquisizione dei dati di base dell’utente, acquisizione che poteva avvenire solo con la creazione dell’ID A.D.I.L..

14.1.5. Il Collegio osserva, ulteriormente, che nella comunicazione di estensione del procedimento l’Autorità non riferiva l’omissione di informativa solo al momento di accesso agli stores: la frase (di cui al punto 11 della comunicazione del 3 marzo 2021) “qualora risulti accertata l’omissione di qualsiasi immediata e chiara indicazione sulla raccolta dei dati dell’utente e sulla sua finalità commerciale nella fase di utilizzo di servizi quali, ad esempio, A.D.I.L. Store e altri servizi Store A.D.I.L.….”, stava a significare che all’utente non veniva comunicato (i) che i relativi dati erano soggetti a raccolta e (ii) che sarebbero stati sfruttati commercialmente nella fase di utilizzo degli stores: dunque il riferimento alla “fase di utilizzo degli stores” non serviva a individuare il momento in cui doveva essere fornita la adeguata informativa, ma solo a enfatizzare che sia la raccolta di dati che lo sfruttamento economico si sarebbero verificati nel corso dell’utilizzazione degli stores, chiaramente per il fatto che essi avevano finalità squisitamente commerciale.

14.1.6. In definitiva, la contestazione formulata con la comunicazione del 3 marzo 2021 non può essere letta nel senso che l’omissione di una adeguata informativa fosse riferita solo alla fase dell’accesso agli stores: viceversa, tale contestazione riferiva la mancanza di una adeguata informativa genericamente a tutta la raccolta dati, e quindi anche alla fase di creazione dell’ID A.D.I.L.. Tale contestazione è stata ancor meglio esplicitata nella comunicazione di chiusura istruttoria, dell’8 settembre 2021, e tale è rimasta nel provvedimento impugnato.

14.1.7. Va anche rilevato che la comunicazione di estensione del procedimento, del 3 marzo 2021, presenta tutti i requisiti per essere qualificata quale avvio del procedimento, tant’è che in tale occasione l’Autorità ha fissato anche un termine – quello massimo di 210 giorni – per la conclusione del procedimento.

14.1.8. Quanto alla contestazione originaria relativa all’iCloud, di essa, effettivamente, l’Autorità non fa più cenno nella comunicazione della chiusura istruttoria.

14.1.9. Si può pertanto affermare che mentre la contestazione originaria, contenuta nella comunicazione di avvio del procedimento del 20 agosto 2020, è stata tacitamente archiviata (l’art. 5, comma 3, del Regolamento per le procedure istruttorie in materia di pubblicità ingannevole prevede, del resto che “È facoltà dell’Autorità inviare una comunicazione dell’avvenuta archiviazione o chiusura del procedimento preistruttorio.”), con la comunicazione del 3 marzo 2021 è stato, di fatto, avviato un nuovo procedimento, e rispetto a tale comunicazione non v’è stato alcun sostanziale mutamento di contestazione.

14.1.10. Alla luce delle indicate considerazioni la censura in esame deve considerarsi destituita di fondamento.

14.2. Con il terzo motivo d’appello incidentale A.D.I.L. ripropone l’originario nono motivo di ricorso, a mezzo del quale deduceva l’assoluto difetto di attribuzione e competenza dell’AGCM a causa dell’incompatibilità asseritamente esistente tra l’interpretazione delle disposizioni del Codice del Consumo, sottesa al provvedimento impugnato, e specifiche disposizioni di diritto dell’UE in materia di trattamento dei dati personali.

14.2.1. Tale censura sarebbe stata implicitamente respinta dal primo giudice in un obiter dictum, precisamente laddove il TAR afferma che “l’omessa informazione dello sfruttamento ai fini commerciali dei dati dell’utenza non è una questione interamente disciplinata e sanzionata nel “Regolamento privacy”; la non sovrapponibilità dei piani relativi alla tutela della “privacy” e alla protezione del consumatore si desume dalle considerazioni svolte dalla Corte di giustizia dell’Unione Europea, del 13 settembre 2018, nelle cause riunite C 54/17 e C 55/17, nella quale si è statuito che la disciplina consumeristica non trova applicazione “unicamente quando disposizioni estranee a quest’ultima, disciplinanti aspetti specifici delle pratiche commerciali sleali, impongono ai professionisti, senza alcun margine di manovra, obblighi incompatibili con quelli stabiliti dalla direttiva 2005/29”. Non sussiste pertanto incompatibilità o antinomia tra le previsioni del “Regolamento privacy” e quelle in materia di protezione del consumatore “in quanto le stesse si pongono in termini di complementarietà (…)”.

A.D.I.L. rileva di non aver dedotto l’incompatibilità tra il diritto dei consumatori nazionale e il regolamento UE sulla protezione dei dati personali, ma l’incompatibilità del Provvedimento dell’AGCM con la normativa UE sulla protezione dei dati personali: ciò per la ragione che l’interpretazione del Codice del Consumo che ne ha dato l’Autorità, a mezzo del provvedimento impugnato, si porrebbe in aperto e frontale contrasto con le disposizioni del Regolamento Generale sulla Protezione dei Dati 2016/679 (“GDPR”), come interpretato dal Gruppo di Lavoro Europeo Art. 29 (“WP29”) e dal Comitato Europeo per la Protezione dei Dati (“EDPB”).

In particolare, per quanto riguarda la condotta A), A.D.I.L. sarebbe stata sanzionata per aver utilizzato un approccio multilivello sull’informativa relativa al trattamento dei dati degli utenti: tale approccio multilivello, tuttavia, è proprio raccomandato come buona pratica nelle Linee Guida sulla trasparenza ai sensi del GDPR pubblicate dal Gruppo di Lavoro Europeo Art. 29 il 29.11.2017 (nella versione revisionata dell’11.4.2018) e approvate dal Comitato Europeo per la Protezione dei Dati (“Linee Guida sulla Trasparenza”) e figura tra le condotte espressamente ammesse ai sensi dal GDPR, come interpretato dal WP29 e dall’ EDPB

Dunque, secondo l’appellante incidentale, le norme sulla privacy del GDPR qui in rilievo riguardano l’obbligo e il diritto dei professionisti che effettuano il trattamento dei dati personali di adottare un’informativa multilivello sul trattamento, e il diritto degli stessi professionisti di adottare un sistema opt-out basato sul legittimo interesse, entrambi specificamente disciplinati dalle norme UE (e nazionali) sulla protezione dei dati. Queste sono le stesse identiche attività che il Provvedimento dell’AGCM qualifica come violazioni del Codice del Consumo (il quale, naturalmente, ha portata ampia e generale e non disciplina la materia de qua). Da qui, l’irrimediabile contrasto della posizione dell’AGCM con la normativa UE su menzionata (la quale è direttamente applicabile negli Stati membri, nonché sovraordinata al diritto nazionale).

14.2.2. La censura è sostanzialmente improcedibile, a fronte di quanto statuito nei precedenti paragrafi.

14.2.3. In particolare, relativamente alla pratica sub B), la presente decisione conferma l’annullamento della sanzione pronunciata dal TAR, sul rilievo della infondatezza nel merito della contestazione.

14.2.4. Quanto alla pratica sub A), il Collegio rileva che la contestazione è fondata a prescindere dalla tipologia di informativa che A.D.I.L. assicurava all’atto dell’accesso agli stores, essendo già di per sé rilevante l’omissione di informativa posta in essere al momento della creazione dell’ID A.D.I.L.: la censura in esame è divenuta improcedibile, dunque, anche relativamente alle condotte di interesse per il capo A).

14.2.5. Tuttavia si può aggiungere, nel merito, che ciò che l’Autorità contesta nel provvedimento impugnato non è l’utilizzo, in sé, dell’approccio “multilivello”, quanto il fatto che, per come era stato organizzato, di fatto non forniva al consumatore le informazioni rilevanti nel momento in cui esse erano necessarie per assicurare una decisione consapevole da parte del consumatore.

14.2.6. Chiaramente, nel momento in cui si afferma che già nel corso della creazione dell’ID A.D.I.L. il Professionista avrebbe dovuto somministrare maggiori informazioni, idonee a far comprendere immediatamente l’uso che sarebbe stato fatto sia dei dati “di base” che di quelli acquisibili in occasione della navigazione negli stores, l’inadeguatezza dell’informativa resa disponibile al momento dell’accesso agli stores rimane assorbita, diventando una sorta di postfatto non punibile.

14.2.7. E’ poi vero che le Linee Guida sulla trasparenza del 29 novembre 2017 raccomandano (cfr. par. 35) di “seguire un approccio stratificato”, suggerendo “Per evitare un subissamento informativo …….l’impiego di dichiarazioni/informative sulla privacy stratificate per collegare le varie categorie d’informazioni da fornire all’interessato, piuttosto che l’inserimento di tutte le informazioni in un’unica informativa sulla schermata. L’approccio stratificato può aiutare a superare la tensione tra completezza e comprensione, nello specifico consentendo agli utenti di muoversi direttamente verso la sezione della dichiarazione/informativa che vogliono leggere…”; tuttavia si tratta chiaramente di una mera raccomandazione, che non crea obblighi precisi e, quindi, non obbligava affatto A.D.I.L. a fornire notizie più dettagliate, circa l’uso che avrebbe fatto dei dati personali dei consumatori, solo al momento dell’accesso agli Store. Del resto, al successivo par. 36 le Linee Guida citate ribadiscono che “i titolari del trattamento devono essere in grado di dar prova di responsabilizzazione per quanto concerne le ulteriori informazioni cui decidono di assegnare priorità, la posizione del Gruppo è che, in linea con il principio di correttezza, oltre alle informazioni indicate nel presente paragrafo il primo strato/la prima modalità debba contenere anche quelle relative al trattamento che ha il maggiore impatto sull’interessato e al trattamento che potrebbe coglierlo di sorpresa. Pertanto, l’interessato dovrebbe essere in grado di comprendere dalle informazioni contenute nel primo strato/nella prima modalità quali saranno per lui le conseguenze del trattamento”. E’ dunque evidente che è comunque responsabilità del titolare del trattamento dei dati stabilire, anche nell’ambito di un approccio “stratificato”, o multilivello, quali siano le informazioni essenziali da fornire al momento del primo contatto, sia per soddisfare le esigenze di trasparenza, che per garantire la correttezza nei rapporti tra professionista e consumatore.

14.2.8. Il terzo motivo d’appello incidentale va, quindi, respinto, in quanto improcedibile e infondato.

14.3. A questo punto il Collegio procede all’esame del primo motivo d’appello incidentale, con il quale A.D.I.L. deduce l’erroneità dell’appellata sentenza laddove ha respinto l’originario primo motivo di ricorso, con cui si deduceva la tardività del provvedimento impugnato per violazione dell’art. 14 della L. n. 689/81 e, comunque, la violazione del termine ragionevole di durata del procedimento.

14.3.1. A.D.I.L. evidenzia che l’Autorità, prima di comunicare l’avvio del procedimento del 20 agosto 2020, aveva in corso da oltre 26 mesi una fase pre-istruttoria. A tale periodo si deve aggiungere tutto il periodo successivo, sino al provvedimento del 9 novembre 2021, che porta la complessiva durata del procedimento a oltre 3 anni.

Premettendo che la L. n. 689/81 è espressiva di principi generali applicabili anche alle procedure amministrative sanzionatorie di competenza dell’AGCM, l’appellante incidentale sostiene che sarebbe stato violato il termine di 90 giorni di cui all’art. 14, della L. n. 689/81, decorrente dal momento dell’apertura della fase preistruttoria, e comunque anche la violazione dell’art. 6 del Regolamento sulle procedure istruttoria in materia di pubblicità ingannevole di cui alla delibera AGCM n. 25411 del 1° aprile 2015: tale norma, infatti, esplicita il principio generale secondo cui la fase preistruttoria potrebbe avere una durata massima di 180 giorni.

In subordine, l’appellante incidentale sostiene che nel caso di specie ci si troverebbe di fronte a una durata della fase pre-istruttoria irragionevolmente lunga, in contrasto con i principi generali che assistono all’azione amministrativa, i principi rinvenienti dall’art. 6 della CEDU e 41 della Carta Fondamentale dei Diritti dell’Unione Europea, dai quali si desume l’esistenza di un obbligo, per la AGCM, di concludere la fase preistruttoria entro un termine ragionevolmente congruo, in relazione alla complessità della fattispecie sottoposta. L’arbitrario e irragionevole allungamento della fase pre-istruttoria nel caso di specie, oltre a palesarsi illegittimo per violazione dei ricordati princı̀pi che debbono permeare l’azione della pubblica amministrazione (efficienza e buon andamento), avrebbe leso i diritti di A.D.I.L., la cui attività difensiva è stata ostacolata con la negazione delle garanzie connesse al “giusto procedimento”, a causa del fatto che le contestazioni sono state formulate in ritardo, si sono succedute in modo illogico e hanno trovato definizione compiuta solamente in una fase estremamente avanzata dell’istruttoria.

Quindi A.D.I.L. sostiene l’illegittimità della durata che, nel caso di specie, ha avuto la fase pre-istruttoria, sulla base di un duplice ordine di argomenti: (i) violazione dell’art. 14 della L. n. 689/81 e/o dell’art. 6 del Regolamento di cui alla delibera AGCM n. 25411 del 1° aprile 2015; (ii) violazione del principio di ragionevole durata dei procedimenti finalizzati alla irrogazione di una sanzione di natura afflittiva.

Infine, secondo l’appellante incidentale, non potrebbe sostenersi, come statuito nella Sentenza impugnata, che l’AGCM abbia avuto “piena conoscenza” delle condotte sanzionate solamente in data 1.3.2021, attraverso l’acquisizione di ulteriori pagine del sito web di A.D.I.L. (sempre pubblico): essendo tale sito pubblico, la tardiva conoscenza che di alcune circostanze possa aver avuto l’AGCM deve solo ad essa addebitarsi, essendo ascrivibile all’omesso esame del sito web di A.D.I.L. che è di dominio pubblico.

14.3.2. Il Collegio rileva che la Sezione si è già espressa nel senso che le procedure istruttorie finalizzate alla irrogazione di sanzioni previste dal Codice del Consumo sono disciplinate dal Regolamento di cui alla delibera AGCM n. 25411 del 1° aprile 2015. In particolare, con la sentenza n. 8155/2021 (cui si rinvia), dopo aver premesso che il potere sanzionatorio dell’AGCM, in materia, trova fondamento nell’art. 27, comma 1, del D. L.vo n. 206/2005, e che tale previsione richiama la L. n. 689/81 limitatamente alle disposizioni contenute nel capo I, sezione I, e negli artt. 26, 27, 28 e 29, ha ritenuto che alle procedure istruttorie di che trattasi non si applica l’art. 14 della L. n. 689/81.

14.3.3. Dipoi, la decisione citata ha esaminato le norme contenute nel Regolamento di cui alla delibera AGCM n. 25411 del 1° aprile 2015 – in particolare gli artt. 4, 5, 6 e 7 -, per giungere ad affermare che il termine di 180 giorni fissato dall’art. 6 del Regolamento dell’AGCM approvato con delibera 1 aprile 2015, n.25411, deve considerarsi perentorio in considerazione della natura afflittiva delle sanzioni di che trattasi, e del resto è la norma stessa a prevedere che l’unico caso in cui il termine in questione può di fatto allungarsi consegue alla richiesta di informazioni da parte dell’AGCM, alla quale è collegato espressamente un effetto interruttivo del termine.

14.3.4. Il Collegio non ignora che la Sezione in altra occasione (cfr. in particolare, le sentenze nn. 4694/2022, 8491/2021, 738/2021) ha ritenuto l’art. 14 della L. n. 689/81 applicabile alle procedure in argomento; tuttavia si deve dare atto che in alcuni di tali precedenti la questione dell’applicabilità del Regolamento di cui alla delibera dell’AGCM n. 25411 del 1° aprile 2015 non era stata posta a fondamento dei motivi di ricorso e d’appello, in altri casi veniva in considerazione l’impugnazione di provvedimenti anteriori al 1° aprile 2015. Ad ogni modo il Collegio ritiene di confermare l’orientamento espresso dalla citata sentenza n. 8155/2021, dal momento che i termini previsti dal Regolamento, di cui è possibile una interpretazione convenzionalmente orientata, debbono intendersi come perentori, e pertanto sono idonei a garantire la tempestività della contestazione e i diritti della difesa – meglio esercitabili nella immediatezza dei fatti anziché a distanza di tempo -, oltre che gli interessi dei consumatori a che la pratica commerciale scorretta sia interrotta tempestivamente.

14.3.5. Tuttavia si deve anche rilevare che il Regolamento citato disciplina il termine perentorio in questione solo con riferimento al ricevimento di una richiesta di intervento, cioè di una segnalazione di terzi circa l’esistenza di una presunta pratica commerciale scorretta.

14.3.6. Il Regolamento, peraltro, consente all’Autorità di avviare una pre-istruttoria a prescindere da una segnalazione di intervento, come si desume dal fatto che: (i) l’art. 5, comma 2, fa salva la possibilità, per l’Autorità, di acquisire una segnalazione ormai archiviata o non procedibile “per procedere d’ufficio ad un approfondimento istruttorio”; (ii) l’art. 6, comma 1, consente al responsabile del procedimento di avviare l’istruttoria “valutati gli elementi comunque in suo possesso e quelli portati a sua conoscenza con la richiesta di intervento di cui all’art. 4”. Si tratta, ad avviso del Collegio, di norme espressive di un generale potere dell’Autorità di avviare una fase pre-istruttoria quando elementi in suo possesso consentano di ipotizzare l’esistenza di pratiche commerciali scorrette.

14.3.7. Ebbene, con riferimento alla indicata ipotesi, di avvio d’ufficio di un “approfondimento istruttorio”, id est: di una fase pre-istruttoria, il Regolamento non prevede alcun termine, evidentemente per la ragione che in tal caso è difficile individuare il momento si può ragionevolmente onerare l’Autorità di valutare gli elementi in suo possesso. La previsione di un termine ha senso, in effetti, qualora sia pendente una segnalazione di intervento, che già fornisce una chiave di lettura e un inquadramento giuridico dei fatti oggetto della segnalazione (cfr. quanto previsto dall’art. 4, comma 2, circa il contenuto minimo di una segnalazione) e rispetto alla quale il segnalante è in attesa di un riscontro. Qualora, invece, non vi sia alcuna segnalazione di intervento o questa sia stata archiviata, si versa, per definizione, in una situazione in cui l’Autorità non ha evidenza dell’esistenza di una pratica commerciale sanzionabile, e quindi si deve ammettere che l’Autorità possa condurre e/o programmare la fase di approfondimento istruttorio secondo le tempistiche più coerenti con la propria organizzazione.

14.3.8. Nel caso di specie – come già rilevato al paragrafo 14.1.9 – la condotta per la quale A.D.I.L. è stata sanzionata è stata formalmente contestata con la comunicazione del 3 marzo 2021, che costituiva una nuova comunicazione di avvio del procedimento, in quanto riferita ad una condotta non più correlabile all’unica segnalazione che risulta essere pervenuta all’Autorità. Conseguentemente, anche a voler ritenere che la documentazione acquisita dall’Autorità il 18 maggio 2018 evidenziasse elementi utili a sostenere la nuova contestazione – cioè la contestazione formulata nella comunicazione del 3 marzo 2021 e poi definitivamente cristallizzata nella comunicazione di chiusura dell’istruttoria – , rimane il fatto che rispetto a quest’ultima non è pervenuta una segnalazione formale e quindi l’Autorità non era onerata di valutare con immediatezza tale documentazione al fine di contestare condotte diverse da quelle prospettate nella segnalazione di intervento.

14.3.9. Quanto dianzi rilevato non si pone in contrasto con le statuizioni di cui alla sentenza n. 8155/2021, perché l’onere di immediata valutazione, ivi affermato a carico dell’Autorità, è riferito alla richiesta di intervento, che infatti nel caso deciso da tale precedente era stata sostanzialmente ignorata nel primo semestre, salvo essere ripresa molto tempo dopo e poi cristallizzata nella contestazione definitiva. Nel caso presente, si ribadisce, la segnalazione aveva ad oggetto la condotta contestata nella prima comunicazione di avvio del procedimento, ma non anche quella contestata nella comunicazione di estensione oggettiva del 3 marzo 2021, che costituisce una nuova – la seconda – comunicazione di avvio di istruttoria ai sensi dell’art. 6, comma 1, del Regolamento.

14.3.10. In conclusione il Collegio ritiene che l’esame delle norme del Regolamento dell’AGCM, approvato con delibera 1 aprile 2015, n. 25411, interpretate in senso orientato al rispetto dell’art. 6 della CEDU, conduce a ritenere che l’applicabilità del termine perentorio di 180 giorni, di cui all’art. 5, comma 2, del Regolamento, è ipotizzabile quando l’Autorità riceva una segnalazione, e con riferimento alla condotta oggetto di segnalazione. Il suddetto termine non si applica, invece, con riferimento a condotte che non siano mai state fatte oggetto di specifica segnalazione, o siano riconducibili a segnalazioni che siano state archiviate o dichiarate non procedibili per la loro incompletezza o non rispondenza ai criteri di priorità di intervento dell’Autorità.

14.3.11. Alla luce delle considerazioni che precedono va respinto anche il primo motivo di appello incidentale e non vi è ragione di disporre la sospensione impropria del giudizio in attesa della decisione della Corte di Giustizia UE sull’art. 14 della l. n. 689/1981.

15. In conclusione: l’appello principale va accolto in parte, limitatamente alla condotta indicata al capo A) del provvedimento impugnato, e va respinto l’appello incidentale. Per l’effetto, in parziale riforma della appellata sentenza, il ricorso di primo grado va respinto solo con riferimento alla indicata condotta.

16. La complessità delle questioni trattate e la parziale soccombenza reciproca giustifica la compensazione delle spese del doppio grado di giudizio.

P.Q.M.

Il Consiglio di Stato in sede giurisdizionale (Sezione Sesta), definitivamente pronunciando sull’appello principale e sull’appello incidentale, come in epigrafe proposti, così provvede:

– accoglie in parte l’appello principale dell’Autorità Garante della Concorrenza e del Mercato, limitatamente alle censure afferenti la condotta indicata al capo A) della deliberazione dell’Autorità Garante della Concorrenza e del Mercato n. 29888 del 9 novembre 2021, mentre respinge l’appello medesimo relativamente alla condotta indicata al capo B) dell’indicato provvedimento;

– respinge l’appello incidentale di A.D.I.L.;

– per l’effetto, in parziale riforma della sentenza del Tribunale Amministrativo Regionale per il Lazio n. 15317/2022, respinge il ricorso di primo grado limitatamente alla impugnazione della sanzione irrogata, con la detta deliberazione, relativamente alla condotta A);

– compensa tra tutte le parti le spese del doppio grado di giudizio.

Ordina che la presente sentenza sia eseguita dall’autorità amministrativa.