Causa T-319/24

Meta Platforms Ireland Ltd

contro

Comitato europeo per la protezione dei dati

Ordinanza del Tribunale (Decima Sezione) del 29 aprile 2025

«Ricorso di annullamento – Protezione dei dati personali – Parere del Comitato europeo per la protezione dei dati sul consenso valido nel contesto dei modelli “consenso o pagamento” attuati dalle piattaforme online di grandi dimensioni – Articolo 64, paragrafo 2, del regolamento (UE) 2016/679 – Atto non impugnabile – Irricevibilità – Responsabilità – Danno – Nesso causale – Ricorso manifestamente infondato in diritto»

Ricorso di annullamento – Atti impugnabili – Nozione – Atti che producono effetti giuridici vincolanti – Parere del Comitato europeo per la protezione dei dati sulla validità del consenso degli utenti nel contesto dei modelli «consenso o pagamento» attuati dalle piattaforme online di grandi dimensioni – Esclusione – Irricevibilità

(Art. 263 TFUE)

(v. punti 19-42)
Responsabilità extracontrattuale – Presupposti – Illegittimità – Danno – Nesso causale – Mancanza di uno dei presupposti – Rigetto integrale del ricorso per risarcimento danni

(Artt. 268 e 340, comma 2, TFUE)

(v. punti 47-58)

Sintesi

Con la sua ordinanza, il Tribunale respinge in quanto irricevibile il ricorso di annullamento ( 1 ) proposto dalla Meta Platforms Ireland Ltd (in prosieguo: la «Meta») concernente il parere 8/2024 del Comitato europeo per la protezione dei dati (in prosieguo: l’«EDPB») sul consenso valido nel contesto dei modelli «consenso o pagamento» attuati dalle piattaforme online di grandi dimensioni. In tal senso, il Tribunale rileva che detto parere, adottato in forza del regolamento generale sulla protezione dei dati ( 2 ), non è un atto impugnabile con un ricorso di tal genere, in assenza di effetti giuridici obbligatori nei confronti di terzi. Inoltre, il Tribunale respinge in quanto manifestamente infondato in diritto il ricorso per responsabilità extracontrattuale dell’Unione europea ( 3 ) proposto dalla Meta per il risarcimento del danno che essa avrebbe subito a causa del medesimo parere.

Il 17 aprile 2024, su richiesta di tre autorità nazionali di controllo in materia di protezione dei dati personali, l’EDPB ha adottato il parere 8/2024. Tali autorità intendevano appurare in quali circostanze e a quali condizioni le prassi attuate dalle piattaforme online di grandi dimensioni ( 4 ), consistenti nell’offrire agli utenti la scelta tra, da un lato, il consenso al trattamento di dati personali per finalità di pubblicità comportamentale e, dall’altro, il pagamento di un corrispettivo per beneficiare del servizio senza che i loro dati personali fossero trattati per tali finalità (in prosieguo: i «modelli “consenso o pagamento”»), potessero essere considerate conformi al requisito di un consenso valido, ai sensi del RGPD.

Nel parere 8/2024, l’EDPB precisa in particolare che, per essere valido, il consenso richiesto agli utenti per il trattamento dei loro dati personali a fini di pubblicità comportamentale deve essere libero, specifico, informato e inequivocabile, e riguardare trattamenti di dati effettuati nel rispetto dei principi di necessità, di proporzionalità, di limitazione delle finalità, di minimizzazione dei dati e di correttezza. Secondo tale organismo, il fatto che una piattaforma online di grandi dimensioni offra o meno agli utenti un’alternativa, gratuita e senza pubblicità comportamentale, accompagnata, ad esempio, da una forma di pubblicità che implichi il trattamento di una quantità ridotta di dati personali (o di nessun dato personale), potrebbe avere un impatto significativo sulla valutazione della validità di tale consenso. Per quanto riguarda il corrispettivo richiesto per la versione a pagamento del servizio, l’EDPB indica che l’importo non deve essere tale da impedire agli interessati di operare una scelta libera e di rifiutare di prestare il loro consenso.

In tale contesto, la Meta chiede, da un lato, l’annullamento del parere 8/2024 e, dall’altro, il risarcimento del danno che essa avrebbe subito a causa di detto parere.

Giudizio del Tribunale

In primo luogo, il Tribunale ricorda che il ricorso di annullamento, previsto dall’articolo 263 TFUE, è esperibile nei confronti di qualsiasi provvedimento adottato dalle istituzioni, dagli organi o dagli organismi dell’Unione, indipendentemente dalla sua natura e dalla sua forma, che miri a produrre effetti giuridici obbligatori.

Per quanto concerne, nel caso di specie, il parere 8/2024, secondo il Tribunale il suo contenuto non consente di ritenere che esso sia destinato a produrre di per sé effetti giuridici obbligatori. Infatti, tale atto fornisce una griglia di analisi dei modelli «consenso o pagamento» delle piattaforme online di grandi dimensioni alla luce delle norme stabilite nel RGPD sulla validità del consenso. Nel parere 8/2024, l’EDPB si riferisce alla situazione in cui una siffatta piattaforma non proponga all’utente un’alternativa gratuita diversa dal rilascio del consenso al trattamento di dati personali a fini di pubblicità comportamentale. Nella maggior parte dei casi, detta situazione rischia di comportare l’invalidità di un siffatto consenso. Tale valutazione dipende da diversi fattori, tra cui l’importanza o meno del servizio in questione nella vita sociale o professionale degli utenti e il costo dell’alternativa a pagamento. Peraltro, i passaggi del parere 8/2024 contenenti formule quali «dovrebbe» o «non dovrebbe» sembrano richiedere una riflessione approfondita sulle soluzioni alternative che ciascuna piattaforma online di grandi dimensioni possa proporre agli utenti piuttosto che escludere in modo generalizzato il modello «consenso o pagamento» proposto da dette piattaforme.

Il Tribunale evidenzia altresì che il RGPD non contiene disposizioni che obblighino le autorità di controllo a «tenere nella massima considerazione» un parere dell’EDPB riguardante questioni generali, come il parere 8/2024 ( 5 ). Per contro, un tale obbligo ( 6 ) ha per oggetto i pareri concernenti determinati tipi di progetti di decisioni specifiche delle autorità di controllo ( 7 ), che queste ultime devono comunicare all’EDPB nel corso della procedura di adozione di tali decisioni. Se non intende conformarsi, in tutto o in parte, a tali pareri, l’autorità di controllo interessata deve informarne il presidente dell’EDPB, il che implica l’avvio del procedimento di adozione di una decisione vincolante dell’EDPB ( 8 ). Tale regime non è previsto per quanto riguarda i pareri dell’EDPB su questioni generali, come il parere 8/2024, poiché essi sono pareri ai quali non è attribuito alcuno specifico carattere vincolante. Infatti, tali pareri non costituiscono atti di per sé vincolanti, in quanto le indicazioni contenute negli stessi possono, sulla base dei poteri dell’EDPB, all’occorrenza, diventare in seguito istruzioni obbligatorie per le autorità di controllo soltanto ove inserite in una decisione vincolante successiva a detti pareri. Alla luce di quanto precede, il Tribunale conclude che il parere 8/2024 non produce effetti giuridici obbligatori nei confronti di terzi, né, in particolare, nei confronti della Meta.

Infatti, da un lato, anche se la Meta si trova nella situazione oggetto del parere 8/2024, in mancanza di un’analisi completa del suo caso effettuata dalle autorità di controllo competenti, tale parere non può comportare effetti giuridici obbligatori nei suoi confronti. Dall’altro lato, l’eventualità di una successiva decisione vincolante dell’EDPB adottata nei confronti delle autorità di controllo competenti che esaminino il modello «consenso o pagamento» applicato dalla Meta, la quale riprenda in tutto o in parte la griglia di analisi descritta nel parere 8/2024, non è sufficiente per ritenere che quest’ultimo sia immediatamente vincolante. Pertanto, il Tribunale conclude che tale parere non costituisce un atto impugnabile da parte della Meta.

Tale conclusione non pregiudica il diritto della Meta ad una tutela giurisdizionale effettiva ( 9 ), poiché il parere 8/2024 non comporta effetti giuridici obbligatori nei suoi confronti. Le considerazioni in esso contenute potrebbero incidere direttamente sulla Meta solo se fossero riprese in una decisione di un’autorità di controllo o di un giudice di uno Stato membro o di un altro Stato parte contraente dell’accordo sullo Spazio economico europeo (SEE). In tal caso, dette decisioni potranno essere o saranno state oggetto di una valutazione da parte di un giudice che soddisfi i criteri della tutela giurisdizionale effettiva.

Detta conclusione non può essere rimessa in discussione neppure da una possibile differenza tra la valutazione di tale atto svolta dai giudici di Stati membri dell’Unione e quella svolta dai giudici di altri Stati parti contraenti dell’accordo SEE. Infatti, una simile eventualità rientra nel sistema adottato nell’accordo SEE il quale si basa su due pilastri di sorveglianza e di controllo giurisdizionale, il primo applicabile agli Stati membri dell’Unione e il secondo agli altri Stati parti contraenti di tale accordo. Per quanto riguarda questi ultimi, è segnatamente previsto, nell’accordo SEE e nell’accordo fra gli Stati dell’Associazione europea di libero scambio (EFTA) sull’istituzione di un’autorità di vigilanza e di una Corte di giustizia ( 10 ), che la Corte EFTA possa essere adita da un giudice di detti Stati per ottenere un parere sull’interpretazione di tali norme, quindi, in particolare, sull’interpretazione del RGPD. La Corte EFTA potrebbe perciò indicare in quale misura ritenga che le considerazioni contenute nel parere 8/2024 siano conformi a detto regolamento. Per quanto riguarda gli Stati membri dell’Unione, la Corte potrebbe essere adita da un giudice di tali Stati per valutare la validità di detto parere.

In secondo luogo, il Tribunale respinge la domanda della Meta di risarcimento del danno che essa avrebbe subito a causa del parere 8/2024, a titolo di responsabilità extracontrattuale dell’Unione.

Dopo aver ricordato i tre presupposti cumulativi per la sussistenza di tale responsabilità, il Tribunale rileva che il presupposto relativo all’esistenza di un danno reale e certo non è soddisfatto. Per quanto concerne il danno lamentato dalla Meta, che consiste nel calo degli introiti pubblicitari e degli introiti da abbonamenti derivante dall’«obbligo», asseritamente previsto dal parere 8/2024, di offrire agli utenti un’alternativa gratuita in aggiunta alla scelta tra, da un lato, prestare il consenso a ricevere pubblicità comportamentale e, dall’altro, pagare per poter beneficiare del servizio di cui trattasi senza ricevere tale tipo di pubblicità, il Tribunale constata che tale danno si basa su un’interpretazione erronea di detto parere. Infatti, il parere in questione mira, in sostanza, solo a fornire una griglia di analisi dei modelli «consenso o pagamento» delle piattaforme online di grandi dimensioni alla luce delle norme enunciate nel RGPD sulla validità del consenso e non è destinato a produrre di per sé effetti giuridici obbligatori. Inoltre, il danno lamentato dalla Meta si basa su eventi futuri e incerti, in quanto l’applicazione da parte dell’autorità per la protezione dei dati irlandese di propria iniziativa di tale griglia di analisi o l’adozione da parte dell’EDPB di una decisione vincolante in materia sono solo mere eventualità.

Per quanto riguarda, ad abundantiam, il presupposto relativo al nesso causale, il Tribunale rileva che non può essere dimostrato alcun rapporto di causa-effetto sufficientemente diretto tra il parere 8/2024 e il danno lamentato dalla Meta. Infatti, in assenza di effetti obbligatori, tale parere non può essere la causa sufficientemente diretta dell’eventuale calo di introiti che la Meta sostiene di paventare. Un siffatto danno potrebbe derivare direttamente da un comportamento volontario di quest’ultima o da eventuali decisioni impostele, che implichino che essa proponga agli utenti un’alternativa gratuita in aggiunta alla scelta tra, da un lato, prestare il loro consenso a ricevere pubblicità comportamentale e, dall’altro, pagare per poter beneficiare del servizio di cui trattasi senza ricevere tale tipo di pubblicità.

( 1 ) Articolo 263 TFUE.

( 2 ) Articolo 64, paragrafo 2, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).

( 3 ) Proposto ai sensi degli articoli 268 e 340, secondo comma, TFUE.

( 4 ) Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali e che modifica la direttiva 2000/31/CE (regolamento sui servizi digitali) (GU 2022, L 277, pag. 1). L’articolo 3, lettera i), di tale regolamento definisce la nozione di «piattaforma online», mentre l’articolo 33, paragrafo 1, di detto regolamento definisce la nozione di «piattaforma online di dimensioni molto grandi».

( 5 ) Parere reso ai sensi dell’articolo 64, paragrafo 2, del RGPD.

( 6 ) Previsto dall’articolo 64, paragrafo 7, del RGPD.

( 7 ) Pareri resi ai sensi dell’articolo 64, paragrafo 1, del RGPD.

( 8 ) Articolo 64, paragrafo 8, del RGPD.

( 9 ) Articolo 47, Carta dei diritti fondamentali dell’Unione europea.

( 10 ) Articolo 108, paragrafo 2, dell’accordo SEE e articolo 34 dell’accordo fra gli Stati AELS (EFTA) sull'istituzione di un'autorità di vigilanza e di una Corte di Giustizia (GU 1994, L 344, pag. 1).