Dopo l’ordinanza del Tribunale di Milano n. 1251 del 10 aprile 2026 un titolare del trattamento può essere convenuto in giudizio da un’associazione di consumatori senza mandato dei singoli interessati. Le verifiche da fare subito sono tre: aggiornare la valutazione d’impatto in chiave probatoria, documentare le misure contro la raccolta automatizzata, stimare la platea di potenziali aderenti.
Che cosa è cambiato davvero nel 2026?
Due cose, in direzioni opposte, nello stesso semestre.
Da un lato i giudici hanno iniziato a smontare provvedimenti sanzionatori di grandi dimensioni. Il 12 marzo 2026 la Cour administrative del Lussemburgo ha annullato la sanzione da 746 milioni di euro irrogata ad Amazon nel luglio 2021, rilevando che l’autorità non aveva mai esaminato se la violazione fosse dolosa o colposa. Il 18 marzo 2026 il Tribunale di Roma, con sentenza n. 4153/2026, ha annullato il provvedimento con cui il Garante aveva irrogato una sanzione da 15 milioni di euro; il provvedimento è stato rimosso dal sito dell’Autorità e le motivazioni non risultavano ancora pubbliche alla data delle fonti reperite. GblockAI Policy Italia
Dall’altro lato il Tribunale di Milano ha ammesso la prima azione rappresentativa italiana in materia di dati personali. Chi legge la prima notizia come un allentamento della pressione legge male. Nessuno dei due annullamenti ha assolto la società nel merito. Nel caso lussemburghese l’autorità ha anzi rilevato che il giudice ha confermato quasi per intero la sua impostazione, e in particolare l’inidoneità del legittimo interesse come base giuridica. Il materiale accertato resta, e resta utilizzabile da chi chiede i danni.
Perché un’azione rappresentativa pesa più di una sanzione?
Per tre ragioni pratiche.
La prima è che l’orologio parte prima. Il deposito del ricorso interrompe la prescrizione e impedisce le decadenze, ma il numero effettivo degli aderenti si definisce solo nella fase successiva all’ammissibilità. Chi si difende conosce la data di esposizione molto prima di conoscerne l’entità. Jlcnews
La seconda è che non serve un mandato preventivo. Gli enti iscritti nell’elenco dell’art. 137 del Codice del consumo possono agire senza previo mandato dei consumatori.
La terza riguarda la sede del giudizio. Il Tribunale ha affermato la giurisdizione italiana su una società di diritto irlandese, valorizzando la presenza in Italia di una struttura del gruppo collegata all’attività pubblicitaria online e leggendo la nozione di stabilimento in senso sostanziale. Per chi opera con una capogruppo estera, l’assunto per cui il contenzioso si concentra all’estero va riverificato.
Basta la violazione per ottenere il risarcimento?
No, e questo è il punto che viene raccontato peggio.
L’ordinanza riconosce il danno da perdita di controllo dei dati anche senza il superamento di una soglia minima di gravità della lesione. Da qui a dire che il danno si presume corre però una distanza notevole. Le due classi di aderenti sono state costruite su elementi concreti e verificabili: chi lamenta il timore della perdita di controllo deve dimostrare di essersi attivato tempestivamente dopo la divulgazione della notizia, per esempio chiedendo chiarimenti alla società o cambiando i propri recapiti; chi lamenta un turbamento per l’esfiltrazione deve provarne l’effettiva sottrazione.
Per il titolare significa che la difesa si gioca sui documenti dell’aderente tanto quanto sui propri.
Chi risponde se i dati li ha raccolti qualcun altro?
Lo scraping è opera di terzi. La responsabilità del gestore della piattaforma, che andrà accertata nel merito, si fonderebbe sulla mancata predisposizione di misure tecniche e organizzative adeguate a prevenire la raccolta non autorizzata, quindi sull’inosservanza dei principi di protezione dei dati fin dalla progettazione e per impostazione predefinita.
Il riferimento è l’art. 25 del Regolamento (UE) 2016/679. E qui si è aggiunto un elemento nuovo. L’8 luglio 2026 il Comitato europeo per la protezione dei dati ha annunciato l’adozione delle linee guida sul web scraping nel contesto dell’intelligenza artificiale generativa, in consultazione pubblica fino al 30 ottobre 2026. Il documento indica fra gli elementi da documentare il rispetto dei segnali tecnici quali robots.txt, ai.txt e i CAPTCHA.
Quel documento descrive lo standard atteso da chi raccoglie. Di riflesso, descrive anche quali segnali chi pubblica avrebbe dovuto predisporre.
Che cosa mettere in agenda nelle prossime settimane
Riaprire la DPIA e leggerla come prova. La domanda non è se esiste, ma se registra le misure valutate e scartate, con motivazione e data. In un giudizio risarcitorio quella traccia è la difesa sull’art. 25. Se il documento elenca solo ciò che è stato fatto, va integrato.
Verificare le misure contro la raccolta automatizzata. Limiti di frequenza sulle interfacce pubbliche, controlli sull’enumerazione di identificativi e numeri di telefono, gestione documentata dei file destinati ai crawler, monitoraggio delle anomalie di accesso. Ciò che non è tracciato in un log non è dimostrabile in giudizio.
Stimare l’esposizione, non solo il rischio. Quanti interessati rientrerebbero in una classe omogenea, da quale data, su quali categorie di danno. La stima serve al consiglio di amministrazione e al broker assicurativo prima ancora che al legale.
Rivedere le informative sulle decisioni automatizzate. Il tema è già normativo altrove. In Australia, dal 10 dicembre 2026 le entità soggette al Privacy Act devono indicare nella privacy policy l’uso di sistemi decisionali automatizzati. Per un gruppo con presenza multigiurisdizionale la scadenza è a calendario.
Mappare i trattamenti fuori dall’Unione. In India la fase 2 del quadro attuativo del Digital Personal Data Protection Act, con il regime di registrazione dei Consent Manager, decorre dal 13 novembre 2026. Negli Stati Uniti, dal 1° luglio 2026 il Connecticut ha esteso la nozione di dato sensibile ai neural data, agli identificativi rilasciati dall’autorità pubblica e alle informazioni sui conti finanziari.
Domande frequenti
L’annullamento di una sanzione mi protegge da una causa civile?
No. L’annullamento di un provvedimento per difetto di motivazione o per incompetenza dell’autorità non contiene alcun accertamento di liceità del trattamento. Gli elementi raccolti nell’istruttoria restano disponibili a chi agisce per il risarcimento ai sensi dell’art. 82 del Regolamento (UE) 2016/679. In alcuni casi il giudice ha espressamente confermato la fondatezza degli addebiti pur annullando la sanzione.
Una class action privacy può colpire anche un ente pubblico?
L’azione rappresentativa disciplinata dagli artt. 140-ter e seguenti del Codice del consumo è costruita sul rapporto con i consumatori. Resta però impregiudicata la responsabilità civile ordinaria ai sensi dell’art. 82 del Regolamento, che non distingue fra titolari pubblici e privati. Un ente che tratti dati di un numero elevato di cittadini ha un’esposizione seriale analoga, per quanto azionata con strumenti processuali diversi.
Che differenza c’è fra assenza di soglia di gravità e danno in re ipsa?
L’assenza di una soglia significa che nessun pregiudizio viene escluso per la sua scarsa entità. Non significa che il danno si presuma. L’interessato deve comunque allegare e provare un pregiudizio concreto e il suo collegamento con la violazione. L’ordinanza milanese ha infatti ancorato l’appartenenza alle classi a comportamenti dimostrabili dell’aderente.
Le linee guida del Comitato europeo sono già vincolanti?
Le linee guida non hanno di per sé efficacia vincolante e il testo adottato a luglio 2026 è una versione in consultazione pubblica fino al 30 ottobre 2026. Costituiscono però l’indicazione più chiara di come le autorità di controllo valuteranno le pratiche di raccolta automatizzata, e sono già utilizzabili come parametro di diligenza in sede di contenzioso civile.
Da dove conviene iniziare se la documentazione è incompleta?
Dalla ricostruzione documentale delle scelte tecniche già adottate sulle interfacce esposte al pubblico, con data certa. Poi dall’aggiornamento della valutazione d’impatto perché registri anche le opzioni scartate e le ragioni dello scarto. La mappatura dell’esposizione seriale viene dopo, perché presuppone di sapere quali dati sono effettivamente accessibili e da quando.
Dott.ssa Caterina Bardi
I&P Partners assiste titolari del trattamento pubblici e privati nella revisione delle valutazioni d’impatto in chiave difensiva e nella mappatura dell’esposizione ad azioni risarcitorie seriali.
