Class action sui dati Facebook, il Tribunale di Milano apre alla tutela risarcitoria

L’ordinanza 10 aprile 2026 n. 1251 chiarisce giurisdizione, opt in e legittimazione degli enti nelle nuove azioni rappresentative del Codice del consumo

Il Tribunale di Milano, Sezione specializzata in materia di impresa, con ordinanza 10 aprile 2026 n. 1251, ha dichiarato ammissibile l’azione rappresentativa promossa dal Centro tutela consumatori utenti nei confronti di Meta Platforms Ireland Limited per il caso di data scraping che ha interessato Facebook. La decisione si colloca in un terreno ancora poco esplorato: quello delle nuove azioni rappresentative introdotte dal Dlgs 10 marzo 2023 n. 28, che ha inserito nel Codice del consumo gli articoli da 140-ter a 140-quaterdecies in attuazione della Direttiva UE 2020/1828.

La vicenda muove dalla diffusione online di un insieme di dati personali estratti dalla piattaforma tra il 2018 e il 2019. Su quel fatto la Data Protection Commission irlandese, autorità capofila per Meta in Europa, ha aperto un’indagine nell’aprile 2021 e ha poi irrogato una sanzione da 265 milioni di euro, contestando violazioni del Gdpr e imponendo misure correttive. Su questo sfondo, l’associazione attrice ha chiesto sia una tutela inibitoria, per prevenire il ripetersi di episodi analoghi, sia una tutela compensativa, finalizzata al ristoro dei consumatori.

L’ordinanza individua inoltre due possibili classi di aderenti. La prima è formata dai consumatori che deducano il timore della perdita di controllo sui propri dati, purché dimostrino di essersi attivati tempestivamente dopo la divulgazione della notizia, per esempio chiedendo chiarimenti a Meta oppure modificando recapiti e dati di contatto. La seconda riguarda chi alleghi un turbamento per l’avvenuta esfiltrazione dei dati e ne provi l’effettiva sottrazione. Il danno non patrimoniale, quindi, non viene presunto in astratto, ma ancorato a elementi concreti suscettibili di verifica.

Uno dei punti più rilevanti dell’ordinanza riguarda la giurisdizione. Il tribunale ha ritenuto che il giudice italiano possa conoscere della domanda benché la convenuta sia una società di diritto irlandese, valorizzando la presenza in Italia di una struttura del gruppo funzionalmente collegata all’attività pubblicitaria online. In questa prospettiva, il riferimento all’“stabilimento” di cui all’articolo 79 del Regolamento UE 2016/679 viene letto in senso sostanziale e non meramente formale.

La pronuncia chiarisce poi che il modello prescelto dal legislatore è quello dell’opt in: gli effetti interruttivi della prescrizione e impeditivi della decadenza si producono con il deposito del ricorso, ma il consolidamento del diritto al ristoro richiede l’adesione dei singoli interessati nella fase successiva all’ammissibilità. Di particolare interesse è anche l’affermazione secondo cui l’azione può essere promossa dagli enti iscritti nell’elenco dell’articolo 137 del Codice del consumo senza previo mandato dei consumatori, soluzione coerente con la disciplina speciale delle azioni rappresentative.

Quanto al merito del vaglio preliminare, il Tribunale di Milano precisa che l’ammissibilità non coincide con una decisione anticipata sulla fondatezza della pretesa. Il giudice deve limitarsi a verificare che la domanda non sia manifestamente infondata e che i diritti individuali fatti valere presentino un grado di omogeneità sufficiente a consentire una trattazione seriale e una possibile liquidazione standardizzata per categorie di danno. È questo il passaggio che trasforma il contenzioso sui dati personali in un banco di prova per l’effettività della tutela collettiva dei consumatori e per la tenuta del sistema rimediale disegnato dal legislatore.