Web scraping e risarcimento collettivo: il Tribunale di Milano ammette l’azione rappresentativa privacy contro Meta.

Il Tribunale di Milano, Sezione XIV civile – Sezione specializzata in materia di impresa “A”, n. 1251/2026 ha dichiarato ammissibile l’azione rappresentativa proposta da un’associazione di consumatori nei confronti di Meta, diretta a ottenere il risarcimento dei danni che gli utenti di Facebook avrebbero subito a causa di una raccolta massiva di dati personali effettuata da terzi mediante tecniche di web scraping.

La decisione riguarda, in questa fase, esclusivamente l’ammissibilità dell’azione. L’effettiva responsabilità di Meta e la sussistenza dei danni lamentati dovranno essere accertate nel successivo giudizio di merito.

Secondo la prospettazione accolta ai fini dell’ammissibilità, la responsabilità della piattaforma potrebbe derivare dall’insufficienza delle misure tecniche e organizzative adottate per impedire o limitare l’estrazione non autorizzata dei dati degli utenti. La contestazione coinvolge, pertanto, non soltanto gli obblighi di sicurezza previsti dal GDPR, ma anche i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita, di cui all’articolo 25 del Regolamento.

L’ordinanza del Tribunale di Milano rappresenta uno dei primi significativi punti di incontro, nella giurisprudenza italiana, tra il regime della responsabilità previsto dal GDPR e la disciplina delle azioni rappresentative dei consumatori.  Il tema assume particolare rilievo anche alla luce delle recenti Linee guida 03/2026 sul web scraping nel contesto dell’intelligenza artificiale generativa, che richiamano la necessità di valutare i rischi connessi alla disponibilità online dei dati personali e di predisporre misure adeguate contro attività automatizzate di raccolta massiva. Sul medesimo episodio, Meta era già stata destinataria di un provvedimento sanzionatorio della Data Protection Commission irlandese.

L’ordinanza presenta almeno tre profili di particolare interesse. In primo luogo, il Tribunale ha riconosciuto la legittimazione dell’associazione dei consumatori ad agire senza necessità di ottenere preventivamente uno specifico mandato da ciascun interessato. La conclusione è fondata sulla funzione propria dell’azione rappresentativa, destinata a garantire una tutela effettiva e di livello elevato agli interessi collettivi dei consumatori. In secondo luogo, la decisione si colloca nel solco della giurisprudenza della Corte di giustizia dell’Unione europea sul risarcimento del danno da violazione del GDPR. La perdita del controllo sui propri dati personali può integrare un danno non patrimoniale risarcibile senza che sia necessario dimostrare il superamento di una soglia minima di gravità o di tollerabilità. Rimane comunque necessario accertare, per ciascuna categoria di soggetti, l’esistenza concreta del danno e il nesso causale con la violazione contestata. Infine, il requisito dell’omogeneità dei diritti azionati collettivamente può sussistere anche quando il medesimo comportamento produca conseguenze dannose differenti. È possibile individuare sottoclassi di utenti interessate da specifiche tipologie di pregiudizio, purché i relativi danni possano essere valutati attraverso criteri sufficientemente uniformi e standardizzabili.

La pronuncia amplia sensibilmente la dimensione del rischio connesso alle violazioni della normativa sulla protezione dei dati personali. Alle sanzioni amministrative e ai possibili provvedimenti correttivi delle autorità di controllo può infatti aggiungersi una responsabilità civile esercitata in forma collettiva, con effetti economici, reputazionali e organizzativi potenzialmente molto rilevanti.

Il rischio non riguarda soltanto le grandi piattaforme digitali. Può coinvolgere qualsiasi impresa che renda disponibili online dati personali, gestisca portali o aree riservate, utilizzi interfacce di programmazione, esponga database accessibili dall’esterno o tratti grandi quantità di informazioni suscettibili di estrazione automatizzata.