Scraping di dati personali e class action: il Tribunale di Milano apre una nuova stagione della responsabilità civile privacy
Con ordinanza del 10 aprile 2026 il Tribunale di Milano - Sezione specializzata in materia di Impresa ha dichiarato ammissibile l'azione rappresentativa promossa da un'associazione di consumatori contro Meta per ottenere il risarcimento del danno che gli utenti di Facebook avrebbero subito a seguito di un massiccio scraping di dati personali ad opera di terzi.
La responsabilità di Meta, che andrà accertata nella successiva fase di merito, si fonderebbe sulla mancata predisposizione di misure tecniche e organizzative adeguate a prevenire la raccolta non autorizzata di dati (n.d.r. vedasi anche Linee guida 03/2026 sul web scraping nel contesto dell'intelligenza artificiale generativa) e, quindi, sull'inosservanza dei principi di privacy by design e by default fissati dal GDPR. Su questo profilo, peraltro, Meta è stata già sanzionata dalla Data Protection Commission irlandese.
L'ordinanza, la prima in Italia ad ammettere un'azione rappresentativa a fronte di una violazione in materia di privacy, presenta principalmente tre punti di attenzione.
Anzitutto chiarisce che, tenuto conto dell'obiettivo di garantire un livello elevato di tutela dei consumatori, l'associazione è legittimata all'esercizio dell'azione senza necessità di un mandato da parte dei danneggiati.
In secondo luogo, allineandosi all'orientamento della Corte di giustizia dell'UE, indica che la risarcibilità del danno non patrimoniale da perdita di controllo dei dati personali non può essere subordinata al superamento di una 'soglia di tollerabilità' della lesione. Infine, nel ravvisare l'omogeneità dei diritti fatti valere, specifica che tale requisito può ricorrere anche qualora dal medesimo fatto plurioffensivo derivino diverse voci di danno, riconducibili a sottoclassi distinte di soggetti lesi, purché i danni siano liquidabili secondo criteri che si prestano ad essere standardizzati per singola tipologia.
Queste indicazioni confermano l'esigenza per le imprese, in un contesto economico sempre più fondato sui dati, di effettuare un'accurata valutazione del rischio di sicurezza collegato al trattamento di dati, definire misure di prevenzione e mitigazione proporzionate al livello di rischio e documentarne l'adozione, secondo la logica di accountability che costituisce uno dei pilastri del GDPR.
Le carenze della compliance possono, infatti, comportare conseguenze molto rilevanti non solo sul piano sanzionatorio amministrativo, ma anche su quello della responsabilità civile, con spazio per l'eventuale esercizio di azioni risarcitorie collettive.
La pronuncia assume rilievo perché rappresenta una delle prime decisioni della giurisprudenza italiana che chiarisce il rapporto tra la disciplina del GDPR e il nuovo sistema delle azioni rappresentative, delineando un quadro destinato ad incidere in modo significativo sia sulla tutela dei consumatori sia sulla gestione del rischio legale da parte delle imprese.
Fonte: Assonime
