Azioni collettive in materia di privacy in Italia: una sentenza del Tribunale di Milano apre la strada

Le azioni collettive in materia di privacy in Italia sono passate dalla teoria alla pratica dopo che il Tribunale di Milano ha ammesso la prima azione rappresentativa ai sensi del GDPR — e i dati internazionali mostrano dove questo porterà.

Il 10 aprile 2026, la Sezione specializzata in materia commerciale del Tribunale di Milano ha dichiarato ammissibile la prima azione collettiva mai intentata in Italia per una violazione della protezione dei dati. La causa riguarda la raccolta su larga scala di dati personali degli utenti di una piattaforma online globale, effettuata da terzi, e coinvolge potenzialmente circa 35 milioni di persone solo in Italia.

Per anni, i responsabili legali italiani hanno considerato l’esposizione al GDPR come una questione di natura normativa. Sanzioni, ispezioni, misure correttive, gestione della reputazione. Questo approccio non è più valido. A seguito di questa ordinanza, la stessa lacuna di conformità che attira l’attenzione di un’autorità di controllo può anche dare luogo a una richiesta di risarcimento danni collettivo intentata per conto di milioni di interessati, senza che nessuno di loro debba muovere un dito.

La decisione è di natura procedurale. Ciononostante, si tratta della sentenza italiana in materia di privacy più significativa dell’anno, e il motivo è semplice: l’ammissibilità era il punto critico.

Cosa ha deciso il tribunale di Milano

L’azione non accusa il convenuto di aver effettuato alcuna raccolta di dati. Lo accusa invece di non aver messo in atto misure tecniche e organizzative in grado di impedire a terzi di raccogliere i dati dei propri utenti. In altre parole, la presunta responsabilità ricade interamente sui principi di «privacy by design» e «privacy by default» di cui agli articoli 25 e 32 del GDPR.

Questa distinzione è di enorme importanza. Un’azienda può essere del tutto passiva nell’incidente e trovarsi comunque dalla parte sbagliata della causa, semplicemente perché le sue difese non erano proporzionate al rischio.

Il tribunale ha affrontato tre punti preliminari nel corso del procedimento:

• Competenza giurisdizionale. I tribunali italiani sono competenti nei confronti di un titolare del trattamento straniero qualora una sua filiale operi in Italia, nonostante il meccanismo dello “sportello unico” previsto dal GDPR.
• Opt-in. Le azioni rappresentative ai sensi del Codice del Consumo italiano seguono il modello «opt-in», per cui la classe viene costituita dopo la dichiarazione di ammissibilità e non prima.
• Ambito del vaglio di ammissibilità. Il giudice non si pronuncia nel merito. Verifica solo che l’azione non sia manifestamente infondata e che i diritti fatti valere siano sufficientemente omogenei da poter essere trattati in modo seriale.

Tre constatazioni che cambiano il calcolo del rischio

Tre passaggi dell’ordinanza meritano un’attenta lettura, poiché insieme abbattono gli ostacoli che avevano mantenuto marginale il ricorso collettivo in questo Paese.

1. Nessun mandato da parte degli interessati

In primo luogo, il tribunale ha stabilito che un’associazione di consumatori di cui all’articolo 137 del Codice del Consumo può intentare l’azione senza alcun mandato preventivo da parte degli interessati. Il ragionamento si fonda sull’obiettivo di garantire un elevato livello di tutela dei consumatori. Di conseguenza, un’organizzazione ricorrente non ha più bisogno di costituire una classe prima di poter intentare causa. Le basta la legittimazione ad agire.

2. Nessuna soglia di tollerabilità per il danno non patrimoniale

In secondo luogo, e in linea con la giurisprudenza della Corte di giustizia dell’Unione europea, l’ordinanza afferma che il risarcimento del danno non patrimoniale derivante dalla perdita di controllo sui dati personali non può essere subordinato al superamento di una soglia di gravità da parte del danno. La Corte di giustizia dell’UE è giunta alla stessa conclusione nella causa Österreichische Post (C-300/21) e nella giurisprudenza che ne è seguita. Pertanto, il dibattito si sposta dall’esistenza del danno al suo valore.

3. L’omogeneità sussiste anche in presenza di sottoclassi

In terzo luogo, il tribunale ha riconosciuto che il requisito di omogeneità può essere soddisfatto anche quando un singolo evento produce diverse voci di danno per distinte sottoclassi di persone interessate. La condizione è che i danni rimangano quantificabili in base a criteri standardizzabili per ciascuna categoria. Di conseguenza, la consueta difesa secondo cui «ogni ricorrente è diverso» diventa notevolmente più difficile da sostenere.

Nel loro insieme, queste conclusioni eliminano come ostacoli la legittimazione ad agire, la prova del danno e la gestibilità della classe. Erano proprio questi i tre ostacoli che avevano tenuto le azioni collettive in materia di privacy in Italia fuori dall’agenda del Consiglio.

Le azioni collettive in materia di privacy in Italia rispetto al benchmark internazionale

Per comprendere dove tutto ciò conduca, è utile esaminare le giurisdizioni che sono giunte per prime a questo punto.

Gli Stati Uniti offrono il quadro più chiaro. I ricorrenti hanno intentato quasi 1.900 azioni collettive in materia di protezione dei dati solo nel 2025, con una media di oltre 150 ricorsi al mese. Si tratta di una crescita annua superiore al 25% e di un aumento di oltre il 200% dal 2022. Per quanto riguarda gli accordi transattivi, i dieci principali accordi relativi ad azioni collettive in materia di privacy hanno raggiunto un valore di circa 801,85 milioni di dollari nel 2025, 2,01 miliardi di dollari nel 2024 e 1,32 miliardi di dollari nel 2023, con gli accordi relativi alle violazioni dei dati che hanno aggiunto ulteriori 515,79 milioni di dollari nella fascia più alta lo scorso anno. È da notare che gran parte di questi contenziosi non fa affatto seguito a una violazione. Si concentrano invece su tecnologie comuni — pixel dei siti web, chatbot, strumenti di riproduzione delle sessioni — abbinate a regimi di risarcimento danni previsti dalla legge.

L’Europa sta seguendo questa tendenza, in modo più lento ma inesorabile. Secondo il CMS European Class Action Report, i ricorrenti hanno intentato 133 azioni collettive in tutta Europa nel 2023 e 97 nel 2024. Il valore cumulativo delle richieste di risarcimento nel Regno Unito ha raggiunto i 155 miliardi di euro, seguito dal Portogallo con 54,76 miliardi di euro e dai Paesi Bassi con 36,31 miliardi di euro. Le richieste di risarcimento rivolte esclusivamente alle Big Tech hanno raggiunto i 36,49 miliardi di euro nel Regno Unito e i 17,85 miliardi di euro nei Paesi Bassi. Storicamente, Regno Unito, Paesi Bassi, Germania e Portogallo hanno rappresentato circa il 78% di tutte le azioni collettive europee, mentre le richieste di risarcimento relative alla protezione dei dati sono aumentate di undici volte tra il 2016 e il 2020.

Il quadro giurisdizionale è altrettanto significativo:

• I Paesi Bassi rimangono la giurisdizione più aggressiva, grazie al regime WAMCA con opzione di esclusione. Una fondazione ha richiesto il risarcimento dei danni immateriali per conto di dieci milioni di utenti Internet olandesi in relazione alle pratiche di offerta in tempo reale.
• La Germania sta registrando un aumento costante delle azioni collettive, in particolare per quanto riguarda le cause relative al GDPR e alla tecnologia.
• Il Portogallo rappresenta ora circa il 27% di tutte le cause intentate in Europa, in crescita rispetto al 23% dell’anno precedente.
• Inghilterra e Galles, nonostante la causa Lloyd contro Google, continuano a generare il maggior importo richiesto in Europa attraverso contenziosi di gruppo e procedimenti collettivi.

L’Italia era l’assenza più evidente da quell’elenco. Ora non lo è più.

Perché lo scraping è al centro dell’esposizione

La tempistica non è casuale. Il 7 luglio 2026, il Comitato europeo per la protezione dei dati ha adottato le Linee guida 03/2026 sullo scraping web nel contesto dell’IA generativa, aperte alla consultazione pubblica fino al 30 ottobre 2026.

Tali linee guida riguardano lo «scraper». Tuttavia, fanno anche qualcos’altro, e questo aspetto è passato in gran parte inosservato. Esse articolano in modo molto dettagliato ciò che la comunità della protezione dei dati si aspetta ora in materia di scraping, compreso il trattamento di file come robots.txt, ai.txt, CAPTCHA e barriere di autenticazione come segnali significativi. Di conseguenza, un ricorrente dispone di un parametro di riferimento pubblicato rispetto al quale misurare qualsiasi difesa che il convenuto avesse messo in atto in quel momento.

Le linee guida normative raramente rimangono tali a lungo. Una volta che uno standard viene messo nero su bianco, diventa il metro di riferimento anche nei procedimenti civili.

Cosa dovrebbero fare ora le aziende: una checklist pratica

Nessuna delle seguenti azioni dipende dall’esito nel merito del procedimento di Milano.

1. Eseguite una valutazione documentata dei rischi di sicurezza. Identificate gli scenari di scraping e di enumerazione realistici per i vostri dati, non quelli generici presi in prestito da un modello.
2. Adeguate le misure al rischio. Limitazione della frequenza, rilevamento delle anomalie, controlli sull’enumerazione di massa, restrizioni API e progettazione dell’autenticazione devono essere tutti inseriti nel documento, insieme alle motivazioni alla base di ogni scelta.
3. Documentate le misure che avete deciso di non adottare. La responsabilità vi tutela quando potete dimostrare perché una misura era sproporzionata. Vi espone al rischio quando la documentazione è semplicemente silenziosa.
4. Rivedete le vostre valutazioni d’impatto sulla protezione dei dati (DPIA), soprattutto quelle relative a ampie basi di utenti e dati di profilo esposti pubblicamente.
5. Rispettare i segnali di opposizione e registrarli. I file robots.txt, ai.txt, i CAPTCHA e le barriere di accesso hanno ora valore probatorio, da entrambe le parti del rapporto di scraping.
6. Modellare l’esposizione aggregata. Moltiplicare una cifra pro capite modesta per la vostra base di utenti italiani, quindi confrontare il risultato con la sanzione amministrativa più elevata prevista. Il confronto è solitamente che fa riflettere.
7. Allineate la risposta agli incidenti con il contenzioso. I documenti creati nelle prime 72 ore saranno letti anni dopo dagli avvocati della controparte, e lo saranno senza alcuna indulgenza.
8. Verificate la vostra assicurazione. Le polizze contro i rischi informatici spesso coprono l’esposizione normativa molto meglio di quanto non facciano per la responsabilità civile collettiva.

L’ordinanza di Milano non accerta alcuna violazione, e la fase di merito potrebbe benissimo concludersi in modo diverso. Ciononostante, il significato strategico è reale.

L’Europa disponeva già degli strumenti necessari. La Direttiva sulle azioni rappresentative, recepita negli articoli 140-ter e seguenti del Codice del Consumo italiano, è in vigore dal 2023. Ciò che mancava era un tribunale disposto ad applicarla a una causa relativa al GDPR, insieme a sentenze in materia di legittimazione, danno e omogeneità che rendessero il meccanismo praticabile. Questa ordinanza fornisce entrambi, e lo fa in una giurisdizione con un’ampia base di utenti e un movimento dei consumatori attivo.

Per le aziende, la conseguenza pratica è chiara. L’esposizione ai rischi legati al GDPR non può più essere misurata solo in termini di sanzioni amministrative. La responsabilità civile, aggregata su milioni di interessati e sostenuta da un mercato del finanziamento delle cause sempre più sofisticato, può farle sembrare irrisorie. Inoltre, essa scatta proprio a causa dello stesso difetto: misure di sicurezza non proporzionate al rischio, oppure adottate ma mai documentate.

Vi porrò quindi la domanda che ho posto ai clienti nelle ultime settimane. Se domani venisse intentata un’azione collettiva a seguito di un incidente di scraping che coinvolga i vostri utenti, cosa dimostrerebbe effettivamente la vostra documentazione? Secondo la mia esperienza, la risposta dipende molto meno da ciò che un’azienda ha fatto che da ciò che ha messo per iscritto in quel momento.

Su un argomento correlato, potreste trovare interessante l’articolo “Linee guida dell’EDPB sullo scraping web: cinque questioni aperte per la crescita dell’IA” su questo blog, che tratta delle linee guida che stanno ora definendo lo standard di diligenza in questo ambito.

L’impatto delle azioni collettive in materia di privacy in Italia dipende in larga misura dal modo in cui la vostra organizzazione ha valutato, calibrato e documentato le proprie misure di sicurezza, nonché dalle dimensioni della vostra base di utenti italiani. Se desiderate discutere di cosa comporti questa sentenza per il vostro profilo di rischio, o valutare la vostra posizione prima che venga presentata una richiesta di risarcimento, potete contattarmi all’indirizzo giulio.coraggio@dlapiper.com; il nostro team sarà lieto di aiutarvi.