Sentenza n. 1906/2026 - Roma, Sezione 1

Esito

La controversia

La ricorrente ha contestato la riconducibilità della condotta al Codice del consumo, deducendo che la richiesta di accesso ai dati di utilizzo degli smartphone Android era esclusivamente funzionale all’attivazione di un sistema antimalware e alla sicurezza delle transazioni, in adempimento degli obblighi derivanti dalla disciplina PSD2 e dai relativi standard tecnici, senza finalità commerciali, profilazione, cessione o patrimonializzazione dei dati. Ha inoltre dedotto la violazione del dovere di diligenza professionale, l’insussistenza dell’aggressività della condotta, l’illegittimità del rigetto degli impegni, la violazione dei termini di conclusione del procedimento, l’irregolare svolgimento dell’istruttoria e la compressione del diritto di difesa, nonché l’illegittimità della quantificazione della sanzione. È stato anche chiesto il rinvio pregiudiziale alla Corte di giustizia UE sul rapporto tra disciplina delle pratiche commerciali scorrette, obblighi antifrode PSD2 e disciplina dei dati personali.

La decisione

Il TAR ha accolto il primo motivo e ha annullato tutti gli atti impugnati, assorbendo le ulteriori censure. Ha ritenuto che la condotta non fosse qualificabile come pratica commerciale ai sensi del Codice del consumo. La raccolta dei dati di utilizzo degli smartphone Android risultava, secondo il giudice, esclusivamente funzionale all’operatività del sistema antimalware e alla prevenzione delle frodi, senza prova di utilizzazioni estranee, di cessione dei dati o del conseguimento di un’utilità commerciale o patrimoniale da parte dell’intermediario. Il solo inserimento della condotta in un rapporto contrattuale avente natura commerciale non era sufficiente a conferirle natura di pratica commerciale. Il giudice ha distinto la tutela consumeristica dalla disciplina privacy, osservando che l’eventuale eccedenza dei dati richiesti non determina di per sé una pratica commerciale in assenza di una funzionalizzazione a un vantaggio economico. In via subordinata, ha rilevato anche l’assenza di un deficit di diligenza professionale: la condotta era coerente con gli obblighi europei di prevenzione delle frodi, era stata positivamente valutata dalla Banca d’Italia e non aveva interrotto la continuità dei servizi di pagamento, essendo disponibili altri canali di accesso. L’AGCM aveva omesso di ponderare comparativamente sicurezza delle transazioni, tutela dei consumatori e riservatezza dei dati. Le spese sono state compensate.

Norme richiamate

• artt. 18, 20, 24 e 25 d.lgs. 206/2005

  le pratiche commerciali scorrette costituiscono un genus unitario di illecito, i cui elementi costitutivi sono definiti dall’art. 20, comma 2; le fattispecie di ingannevolezza e aggressività operano come sottotipi speciali

  La qualificazione come pratica commerciale presuppone una condotta oggettivamente correlata alla promozione, vendita o fornitura di beni o servizi e, secondo la decisione, non ricorre quando la raccolta dei dati sia esclusivamente funzionale alla sicurezza antifrode e non sia dimostrato alcun vantaggio commerciale o patrimoniale.

• art. 27 d.lgs. 206/2005

  La disposizione disciplina i poteri sanzionatori e procedimentali dell’AGCM; le relative censure sono state assorbite dopo l’accoglimento del motivo concernente l’inapplicabilità del Codice del consumo.

• Direttiva 2005/29/CE

  Considerando 7: la direttiva riguarda le pratiche commerciali il cui intento diretto è influenzare le decisioni di natura commerciale dei consumatori relative a prodotti

  La disciplina europea sulle pratiche commerciali scorrette presuppone una finalità commerciale della condotta, non ravvisabile quando l’attività persegua esclusivamente finalità di sicurezza antifrode senza vantaggio economico.

• Direttiva (UE) 2015/2366 (PSD2)

  Considerando 95: i servizi di pagamento offerti elettronicamente dovrebbero essere prestati in maniera sicura, adottando tecnologie in grado di garantire l’autenticazione sicura dell’utente e di ridurre al massimo il rischio di frode

  La normativa impone agli intermediari di adottare misure idonee a garantire la sicurezza dei pagamenti e costituisce elemento rilevante nella valutazione della diligenza professionale.

• art. 2 Regolamento delegato (UE) 2018/389

  i processi di monitoraggio delle operazioni devono tenere conto, tra gli altri fattori di rischio, dei segnali della presenza di malware in una qualsiasi delle sessioni della procedura di autenticazione

  Gli obblighi tecnici europei legittimano l’adozione di sistemi di monitoraggio antifrode idonei a rilevare malware; la condotta deve essere valutata alla luce di tali obblighi.

• art. 267 TFUE

  Il rinvio pregiudiziale richiesto dalla ricorrente non è stato disposto, poiché il giudizio è stato definito mediante accoglimento del motivo principale.

Massime di principio

• Una condotta posta in essere da un professionista nell’ambito di un rapporto contrattuale di consumo non è automaticamente una pratica commerciale: occorre dimostrare che essa sia oggettivamente correlata alla promozione, vendita o fornitura del prodotto o servizio e che presenti una funzionalizzazione commerciale.
• La raccolta di dati degli utenti non integra una pratica commerciale scorretta quando risulti esclusivamente funzionale alla sicurezza tecnica o alla prevenzione delle frodi e non sia provato che i dati siano utilizzati, ceduti o patrimonializzati per conseguire un vantaggio economico.
• L’eventuale violazione o eccedenza rispetto alla disciplina sulla protezione dei dati personali non determina di per sé l’applicabilità della disciplina sulle pratiche commerciali scorrette, trattandosi di ambiti di tutela distinti, salvo che sia dimostrata la finalità commerciale dello sfruttamento dei dati.
• Nella valutazione della diligenza professionale di un intermediario finanziario occorre considerare gli obblighi settoriali europei di sicurezza e prevenzione delle frodi, nonché i pareri delle autorità di vigilanza competenti e l’effettiva continuità dei servizi offerti attraverso canali alternativi.
• Quando una condotta incide contemporaneamente sulla sicurezza delle transazioni, sulla tutela dei consumatori e sulla riservatezza dei dati, l’autorità procedente deve ponderare comparativamente tali interessi e non può fondare l’accertamento dell’illecito consumeristico sulla sola esistenza del rapporto contrattuale.

Come è indicizzato