La protezione dei dati personali entra in una nuova fase anche sul fronte della responsabilità civile. Con un’ordinanza depositata il 10 aprile 2026, il Tribunale di Milano – Sezione specializzata in materia d’impresa – ha dichiarato ammissibile un’azione rappresentativa promossa da un’associazione di consumatori nei confronti di Meta, aprendo la strada alla prima class action italiana fondata su una presunta violazione della normativa sulla privacy.
Il procedimento nasce dal cosiddetto scraping dei dati personali, ossia la raccolta automatizzata e non autorizzata di informazioni pubblicamente accessibili sui profili Facebook da parte di soggetti terzi. Secondo i ricorrenti, il danno subito dagli utenti deriverebbe dalla mancata adozione, da parte della piattaforma, di misure tecniche e organizzative adeguate a impedire questo fenomeno, in violazione dei principi di privacy by design e privacy by default previsti dal Regolamento generale sulla protezione dei dati (GDPR).
Il Tribunale non ha ancora affrontato il merito della responsabilità di Meta, che sarà valutata nella fase successiva del giudizio. L’ordinanza, tuttavia, assume un’importanza particolare perché individua alcuni principi destinati a incidere sulla futura giurisprudenza in materia.
Il primo riguarda la legittimazione delle associazioni dei consumatori. I giudici hanno chiarito che l’azione rappresentativa può essere proposta senza raccogliere un mandato individuale da ciascun utente coinvolto, valorizzando l’obiettivo europeo di garantire un livello elevato di tutela collettiva dei consumatori.
Un secondo aspetto riguarda il danno non patrimoniale derivante dalla perdita del controllo sui propri dati personali. Richiamando l’orientamento della Corte di giustizia dell’Unione europea, il Tribunale ha evidenziato che il diritto al risarcimento non può essere subordinato al superamento di una particolare soglia di gravità della lesione, rafforzando così la tutela riconosciuta agli interessati dal GDPR.
La pronuncia affronta anche il tema dell’omogeneità dei diritti necessari per l’azione collettiva. Secondo i giudici milanesi, tale requisito può sussistere anche quando uno stesso evento produce conseguenze differenti per categorie diverse di utenti, purché le varie tipologie di danno possano essere ricondotte a criteri di liquidazione standardizzati.
La decisione richiama inoltre l’attenzione delle imprese sulla crescente esposizione ai rischi derivanti dalla gestione dei dati personali. In un contesto economico sempre più fondato sulle informazioni digitali, la conformità al GDPR non rappresenta soltanto un obbligo normativo, ma anche uno strumento di prevenzione del contenzioso. La corretta valutazione dei rischi, l’adozione di misure di sicurezza adeguate e la documentazione delle scelte effettuate, secondo il principio di accountability, diventano elementi essenziali per limitare non solo le possibili sanzioni amministrative, ma anche le richieste di risarcimento collettivo.
La vicenda assume particolare rilievo anche perché Meta era già stata destinataria di una sanzione da parte della Data Protection Commission irlandese proprio in relazione alle misure adottate per prevenire lo scraping dei dati.
Secondo l’analisi pubblicata da Assonime, l’ordinanza del Tribunale di Milano rappresenta uno dei primi interventi della giurisprudenza italiana in grado di chiarire il rapporto tra la disciplina del GDPR e il nuovo sistema delle azioni rappresentative, delineando un orientamento destinato ad avere effetti significativi sia sulla tutela dei consumatori sia sulle strategie di gestione del rischio legale da parte delle imprese.
