1.1 Quadro Normativo Multilivello e Recepimento Interno

La pietra angolare della disciplina sul commercio elettronico nell'Unione Europea è costituita dalla Direttiva 2000/31/CE del Parlamento europeo e del Consiglio, dell'8 giugno 2000, la quale ha inteso istituire un quadro giuridico chiaro, semplice e coerente per la fornitura di servizi della società dell'informazione. La direttiva si propone di eliminare gli ostacoli derivanti dalle divergenze tra le legislazioni nazionali, garantendo al contempo la libera circolazione di tali servizi nel mercato interno sulla base del principio cardine del paese d'origine (home country control). Questo principio implica che i prestatori di servizi della società dell'informazione siano soggetti esclusivamente alla disciplina dello Stato membro in cui sono stabiliti, e non a quella del paese in cui risiedono i destinatari del servizio, semplificando notevolmente l'attività transfrontaliera ed evitando la frammentazione.

Nel nostro ordinamento interno, la Direttiva 2000/31/CE è stata recepita tramite il Decreto Legislativo 9 aprile 2003, n. 70, recante 'Attuazione della direttiva 2000/31/CE relativa a taluni aspetti giuridici dei servizi della società dell'informazione nel mercato interno, con particolare riferimento al commercio elettronico'. Il D.Lgs. 70/2003 definisce il proprio ambito regolamentato in conformità al modello europeo, escludendo tuttavia materie specifiche quali il settore tributario, la protezione dei dati personali (rinviata alla disciplina privacy dedicata), l'attività dei notai e i giochi d'azzardo che comportano una posta pecuniaria.

L'Articolo 13 del D.Lgs. 70/2003, in merito alla ricevuta dell'ordine telematico, non costituisce un mero adempimento formale, ma risponde alla finalità di confermare la conclusione del vincolo contrattuale e di fissare su un supporto durevole gli elementi essenziali del regolamento negoziale. La ricevuta deve essere inviata senza ingiustificato ritardo per via elettronica e deve contenere la sintesi delle condizioni, il prezzo, i mezzi di pagamento, il recesso e le imposte applicabili. Essa funge da documento di sintesi a tutela dell'aderente.

La nozione centrale di 'servizio della società dell'informazione', mutuata dalla Direttiva 98/34/CE e riaffermata nel decreto di recepimento, comprende qualsiasi attività economica svolta a distanza, per via elettronica e su richiesta individuale di un destinatario di servizi. Questa definizione onnicomprensiva include non soltanto la vendita di beni e servizi online (e-commerce diretto e indiretto), ma anche le attività di comunicazione commerciale, la fornitura di informazioni o contenuti online, la pubblicità, i motori di ricerca, l'accesso alla rete e la memorizzazione di dati. Restano invece escluse las attività materiali che non possono essere prestate a distanza, quali la revisione dei conti o la consulenza medica che necessitano di un esame fisico del paziente.

1.2 Gli Obblighi Informativi Generali e Speciali del Prestatore

A tutela dei destinatari dei servizi e per garantire la massima trasparenza del mercato, l'Articolo 7 del D.Lgs. 70/2003 impone a ogni prestatore di servizi l'obbligo di rendere facilmente, direttamente, in modo permanente e gratuitamente accessibili una serie di informazioni generali obbligatorie. Tali informazioni includono la denominazione e la sede legale del prestatore, i suoi recapiti (compreso l'indirizzo e-mail) che consentano di contattarlo rapidamente, gli estremi di iscrizione in registri professionali o commerciali, gli identificativi IVA e l'indicazione dei prezzi dei servizi in modo chiaro ed inequivocabile, specificando espressamente se essi comprendano le imposte e i costi di consegna. Questo regime informativo deve essere tenuto costantemente aggiornato dal prestatore.

L'Articolo 13 del D.Lgs. 70/2003, in merito alla ricevuta dell'ordine telematico, non costituisce un mero adempimento formale, ma risponde alla finalità di confermare la conclusione del vincolo contrattuale e di fissare su un supporto durevole gli elementi essenziali del regolamento negoziale. La ricevuta deve essere inviata senza ingiustificato ritardo per via elettronica e deve contenere la sintesi delle condizioni, il prezzo, i mezzi di pagamento, il recesso e le imposte applicabili. Essa funge da documento di sintesi a tutela dell'aderente.

L'Articolo 8 del medesimo decreto stabilisce ulteriori obblighi informativi rigorosi in materia di comunicazioni commerciali (pubblicità, promozioni, offerte di sconti e premi). Tali comunicazioni devono essere chiaramente identificabili come tali fin dal primo momento e devono contenere l'indicazione chiara e inequivocabile del soggetto per conto del quale sono effettuate, nonché le condizioni di accesso alle offerte promozionali in modo facilmente accessibile. L'inosservanza di questi precetti informativi è sanzionata in via amministrativa pecuniaria ai sensi dell'Articolo 21 del decreto, fatta salva l'applicazione delle tutele contro le pratiche commerciali scorrette.

Gli obblighi informativi precontrattuali elencati dall'Articolo 49 rappresentano lo strumento cardine per il superamento dell'asimmetria informativa. Il legislatore comunitario ha dettagliato minuziosamente ogni singola informazione al fine di evitare omissioni ingannevoli. Le lettere da a) a v) includono elementi non solo economici (come spese di spedizione, imposte e costi di consegna ex lettera e), ma anche procedurali (come le modalità di esercizio del recesso, la disponibilità di moduli tipo ex lettera h, e le condizioni di assistenza post-vendita). La mancata o inesatta fornitura di queste informazioni integra un inadempimento contrattuale grave, legittimando il consumatore a richiedere la risoluzione del contratto o il risarcimento del danno per violazione delle regole di condotta e di buona fede precontrattuale ex Articolo 1337 del Codice Civile.

Inoltre, l'Articolo 12 del D.Lgs. 70/2003 disciplina gli obblighi informativi specifici diretti alla conclusione del contratto telematico. Salvo diverso accordo tra parti diverse dai consumatori, il prestatore deve fornire al destinatario, prima dell'inoltro dell'ordine, informazioni dettagliate sulle varie fasi tecniche da seguire per la conclusione del contratto, sulle modalità di archiviazione e di accesso al contratto concluso, sui mezzi tecnici messi a disposizione per individuare e correggere gli errori di inserimento dei dati e sulle lingue a disposizione. L'Articolo 13 impone poi l'obbligo di inviare senza ingiustificato ritardo una ricevuta dell'ordine per via elettronica, contenente una sintesi delle condizioni contrattuali, le informazioni sulle caratteristiche del bene o servizio e il dettaglio del prezzo.

Gli obblighi informativi precontrattuali elencati dall'Articolo 49 rappresentano lo strumento cardine per il superamento dell'asimmetria informativa. Il legislatore comunitario ha dettagliato minuziosamente ogni singola informazione al fine di evitare omissioni ingannevoli. Le lettere da a) a v) includono elementi non solo economici (come spese di spedizione, imposte e costi di consegna ex lettera e), ma anche procedurali (come le modalità di esercizio del recesso, la disponibilità di moduli tipo ex lettera h, e le condizioni di assistenza post-vendita). La mancata o inesatta fornitura di queste informazioni integra un inadempimento contrattuale grave, legittimando il consumatore a richiedere la risoluzione del contratto o il risarcimento del danno per violazione delle regole di condotta e di buona fede precontrattuale ex Articolo 1337 del Codice Civile.

1.3 Il Regime di Responsabilità dei Prestatori Intermediari (ISP)

Un profilo di fondamentale importanza del D.Lgs. 70/2003 (che riprende gli Articoli da 12 a 15 della Direttiva E-Commerce) riguarda l'esenzione e la limitazione della responsabilità dei prestatori di servizi intermediari (Internet Service Providers, ISP) che agiscono come vettori per la trasmissione o la memorizzazione di informazioni fornite da terzi. La disciplina distingue tre diverse tipologie di attività intermediaria:

L'Articolo 13 del D.Lgs. 70/2003, in merito alla ricevuta dell'ordine telematico, non costituisce un mero adempimento formale, ma risponde alla finalità di confermare la conclusione del vincolo contrattuale e di fissare su un supporto durevole gli elementi essenziali del regolamento negoziale. La ricevuta deve essere inviata senza ingiustificato ritardo per via elettronica e deve contenere la sintesi delle condizioni, il prezzo, i mezzi di pagamento, il recesso e le imposte applicabili. Essa funge da documento di sintesi a tutela dell'aderente.

1. Semplice trasporto ('mere conduit' - Articolo 14 D.Lgs. 70/03): consistente nella trasmissione su una rete di comunicazioni o nel fornire accesso alla stessa. Il prestatore non è responsabile delle informazioni trasmesse a condizione che non dia origine alla trasmissione, non selezioni il destinatario della trasmissione e non selezioni né modifichi le informazioni trasmesse. La memorizzazione di transito deve essere meramente tecnica e limitata alla trasmissione.

2. Memorizzazione temporanea ('caching' - Articolo 15 D.Lgs. 70/03): consistente nella memorizzazione automatica, intermedia e temporanea effettuata al solo scopo di rendere più efficace il successivo inoltro ad altri destinatari. L'esenzione da responsabilità è subordinata al rispetto delle condizioni di non modifica, conformità alle regole di accesso e aggiornamento, e reazione rapida per rimuovere le informazioni o disabilitare l'accesso non appena a conoscenza del fatto che le informazioni sono state rimosse alla sorgente o che l'autorità ne ha disposto la rimozione.

3. Memorizzazione di informazioni ('hosting' - Articolo 16 D.Lgs. 70/03): consistente nella memorizzazione di informazioni fornite da un destinatario del servizio. Il prestatore di hosting non è civilmente responsabile a condizione che: (i) non sia effettivamente a conoscenza del fatto che l'attività o l'informazione è illecita e, per quanto attiene ad azioni risarcitorie, non sia al corrente di fatti o circostanze che rendano manifesta l'illeceità; (ii) non appena a conoscenza di tali fatti, agisca immediatamente per rimuovere le informazioni o per disabilitarne l'accesso. La conoscenza dell'illeceità può derivare da una segnalazione motivata o da un provvedimento dell'autorità amministrativa o giudiziaria.

L'Articolo 17 del D.Lgs. 70/2003 sancisce il principio fondamentale dell'assenza di un obbligo generale di sorveglianza in capo ai prestatori intermediari sulle informazioni che trasmettono o memorizzano, né di un obbligo generale di ricercare attivamente fatti o circostanze che indichino la presenza di attività illecite. Tuttavia, gli intermediari sono tenuti ad informare prontamente l'autorità giudiziaria o amministrativa qualora siano a conoscenza di presunte attività o informazioni illecite e a fornire senza indugio, su richiesta delle autorità competenti, le informazioni in loro possesso che consentano l'identificazione dei destinatari dei loro servizi al fine di prevenire e reprimere attività illecite.

Il diritto di recesso di pentimento si configura come uno strumento di bilanciamento contro l'effetto sorpresa delle vendite a distanza. Lo 'ius poenitendi' prescinde da qualsiasi motivazione o addebito e non comporta penali per il consumatore. Tuttavia, la disciplina deve contemperare anche i legittimi interessi economici del professionista, prevedendo limitazioni tassative ex Articolo 59. Ad esempio, la fornitura di beni sigillati aperti dopo la consegna, beni personalizzati, o contenuti digitali online avviati con il consenso del consumatore, sono sottratti al recesso per evitare comportamenti opportunistici o abusi dello strumento contrattuale da parte del consumatore.

1.4 Qualificazione delle Piattaforme: Il Caso Uber (CGUE, dicembre 2017)

La complessa evoluzione delle piattaforme digitali ha sollevato delicati problemi di qualificazione giuridica in merito alla distinzione tra servizi della società dell'informazione ed effettive attività materiali di natura offline. La Corte di Giustizia dell'Unione Europea si è pronunciata in via definitiva su tale questione con la celebre sentenza della Grande Sezione del 20 dicembre 2017 nel caso Uber (C-434/15, Asociación Profesional Elite Taxi contro Uber Systems Spain SL).

Sul piano dell'inquadramento dogmatico, la decisione sul caso Uber riveste una rilevanza sistematica eccezionale. Essa ha chiarito che non è sufficiente che un operatore economico si autodefinisca una 'piattaforma tecnologica' o un intermediario software per sottrarsi alle normative settoriali nazionali. Quando il servizio offline sottostante (in questo caso, il trasporto di passeggeri) è parte integrante e inscindibile di un'offerta complessa interamente progettata, controllata e determinata dalla piattaforma (la quale gestisce prezzi, controlli, sanzioni e selezione dei prestatori), l'intera attività deve essere qualificata in base alla sua reale natura materiale complessiva. Questo principio di prevalenza della sostanza economica sulla forma tecnologica rappresenta un faro interpretativo fondamentale per tutte le nuove piattaforme digitali e per l'applicazione delle regole di concorrenza nel mercato unico digitale. Il legislatore europeo ha fatto proprio questo orientamento nello sviluppo dei recenti regolamenti come il DSA, rafforzando gli obblighi di diligenza delle piattaforme intermediarie.

Uber sosteneva che la propria applicazione per smartphone costituisse un mero servizio di intermediazione della società dell'informazione, volto a mettere in contatto autisti non professionisti con passeggeri, e che pertanto dovesse beneficiare della libera prestazione dei servizi garantita dalla Direttiva 2000/31/CE, senza poter essere sottoposta a regimi di autorizzazione preventiva o licenze locali tipici del settore dei trasporti.

Sul piano dell'inquadramento dogmatico, la decisione sul caso Uber riveste una rilevanza sistematica eccezionale. Essa ha chiarito che non è sufficiente che un operatore economico si autodefinisca una 'piattaforma tecnologica' o un intermediario software per sottrarsi alle normative settoriali nazionali. Quando il servizio offline sottostante (in questo caso, il trasporto di passeggeri) è parte integrante e inscindibile di un'offerta complessa interamente progettata, controllata e determinata dalla piattaforma (la quale gestisce prezzi, controlli, sanzioni e selezione dei prestatori), l'intera attività deve essere qualificata in base alla sua reale natura materiale complessiva. Questo principio di prevalenza della sostanza economica sulla forma tecnologica rappresenta un faro interpretativo fondamentale per tutte le nuove piattaforme digitali e per l'applicazione delle regole di concorrenza nel mercato unico digitale. Il legislatore europeo ha fatto proprio questo orientamento nello sviluppo dei recenti regolamenti come il DSA, rafforzando gli obblighi di diligenza delle piattaforme intermediarie.

La Corte di Giustizia ha respinto la tesi di Uber, stabilendo che un servizio d'intermediazione che mette in contatto, mediante un'applicazione per smartphone e dietro retribuzione, conducenti non professionisti che utilizzano il proprio veicolo con persone che desiderano effettuare uno spostamento urbano, non costituisce un mero servizio della società dell'informazione. La Corte ha rilevato che Uber non si limita a un'attività di intermediazione, ma esercita un'influenza decisiva sulle condizioni della prestazione di trasporto fornita dai conducenti (fissando il prezzo massimo, incassando il corrispettivo per poi riversarne una parte al conducente, ed esercitando un controllo di qualità sui veicoli e sul comportamento dei conducenti). Di conseguenza, tale servizio deve essere qualificato come servizio nel settore dei trasporti ai sensi dell'Articolo 58, paragrafo 1, TFUE, restando escluso dall'ambito della Direttiva 2000/31/CE e potendo essere regolato dagli Stati membri.

Sul piano dell'inquadramento dogmatico, la decisione sul caso Uber riveste una rilevanza sistematica eccezionale. Essa ha chiarito che non è sufficiente che un operatore economico si autodefinisca una 'piattaforma tecnologica' o un intermediario software per sottrarsi alle normative settoriali nazionali. Quando il servizio offline sottostante (in questo caso, il trasporto di passeggeri) è parte integrante e inscindibile di un'offerta complessa interamente progettata, controllata e determinata dalla piattaforma (la quale gestisce prezzi, controlli, sanzioni e selezione dei prestatori), l'intera attività deve essere qualificata in base alla sua reale natura materiale complessiva. Questo principio di prevalenza della sostanza economica sulla forma tecnologica rappresenta un faro interpretativo fondamentale per tutte le nuove piattaforme digitali e per l'applicazione delle regole di concorrenza nel mercato unico digitale. Il legislatore europeo ha fatto proprio questo orientamento nello sviluppo dei recenti regolamenti come il DSA, rafforzando gli obblighi di diligenza delle piattaforme intermediarie.

2.1 Il Modello Consumeristico nei Contratti a Distanza

La disciplina dei contratti dei consumatori ha subito un profondo processo di armonizzazione e ammodernamento con l'emanazione della Direttiva 2011/83/UE sui diritti dei consumatori, la quale ha sostituito le precedenti direttive sulle vendite a distanza e sulle vendite fuori dei locali commerciali, segnando il passaggio da un approccio di armonizzazione minima a un modello di armonizzazione massima. Nel nostro ordinamento, la direttiva è stata attuata tramite il Decreto Legislativo 21 febbraio 2014, n. 21, che ha profondamente novellato il Codice del Consumo (Decreto Legislativo 6 settembre 2005, n. 206).

La ratio della disciplina risiede nella necessità di combattere l'asimmetria informativa e di potere contrattuale che caratterizza il rapporto tra il consumatore (inteso come la persona fisica che agisce per scopi estranei all'attività imprenditoriale, commerciale, artigianale o professionale eventualmente svolta) e il professionista (la persona fisica o giuridica che agisce nell'esercizio della propria attività). L'ordinamento cerca di riequilibrare questo squilibrio strutturale non limitando l'autonomia negoziale, bensì introducendo regole di comportamento rigide che entrano a far parte del regolamento contrattuale stesso.

I contratti a distanza sono definiti dall'Articolo 45, lettera g) del Codice del Consumo come qualsiasi contratto concluso tra il professionista e il consumatore nel quadro di un regime organizzato di vendita o di prestazione di servizi a distanza senza la presenza fisica e simultanea del professionista e del consumatore, mediante l'uso esclusivo di uno o più mezzi di comunicazione a distanza fino alla conclusione del contratto compresa. Sono previste specifiche esclusioni dall'ambito di applicazione ai sensi dell'Articolo 47, tra cui i servizi sociali, l'assistenza sanitaria, i giochi d'azzardo, i servizi finanziari, i contratti immobiliari e le transazioni quotidiane eseguite immediatamente (contratti bagatellari inferiori a 50 euro).

2.2 Gli Obblighi Informativi Precontrattuali e i Requisiti Formali

Il pilastro fondamentale della tutela risiede negli obblighi informativi precontrattuali tassativi previsti dall'Articolo 49 del Codice del Consumo. Prima che il consumatore sia vincolato da un contratto a distanza, il professionista deve fornirgli, in modo chiaro e comprensibile, informazioni dettagliate riguardanti le caratteristiche principali dei beni o servizi, l'identità del professionista (compreso l'indirizzo geografico e i recapiti), il prezzo totale comprensivo delle imposte e di tutte le spese aggiuntive di spedizione o consegna, le modalità di pagamento, consegna ed esecuzione, il trattamento dei reclami, l'esistenza della garanzia legale di conformità e le condizioni dell'assistenza post-vendita.

Gli obblighi informativi precontrattuali elencati dall'Articolo 49 rappresentano lo strumento cardine per il superamento dell'asimmetria informativa. Il legislatore comunitario ha dettagliato minuziosamente ogni singola informazione al fine di evitare omissioni ingannevoli. Le lettere da a) a v) includono elementi non solo economici (come spese di spedizione, imposte e costi di consegna ex lettera e), ma anche procedurali (come le modalità di esercizio del recesso, la disponibilità di moduli tipo ex lettera h, e le condizioni di assistenza post-vendita). La mancata o inesatta fornitura di queste informazioni integra un inadempimento contrattuale grave, legittimando il consumatore a richiedere la risoluzione del contratto o il risarcimento del danno per violazione delle regole di condotta e di buona fede precontrattuale ex Articolo 1337 del Codice Civile.

Di fondamentale importanza è l'Articolo 49, comma 5, il quale stabilisce che le informazioni precontrattuali fornite dal professionista formano parte integrante del contratto a distanza e non possono essere modificate se non con accordo espresso delle parti. In caso di difformità tra l'informativa precontrattuale e il testo del contratto successivamente consegnato, le informazioni precontrattuali prevalgono e si sostituiscono di diritto alle clausole difformi, salvo pattuizione esplicita di modifica accettata dal consumatore. L'onere della prova relativo all'adempimento di questi obblighi spetta al professionista (Articolo 49, comma 10).

Gli obblighi informativi precontrattuali elencati dall'Articolo 49 rappresentano lo strumento cardine per il superamento dell'asimmetria informativa. Il legislatore comunitario ha dettagliato minuziosamente ogni singola informazione al fine di evitare omissioni ingannevoli. Le lettere da a) a v) includono elementi non solo economici (come spese di spedizione, imposte e costi di consegna ex lettera e), ma anche procedurali (come le modalità di esercizio del recesso, la disponibilità di moduli tipo ex lettera h, e le condizioni di assistenza post-vendita). La mancata o inesatta fornitura di queste informazioni integra un inadempimento contrattuale grave, legittimando il consumatore a richiedere la risoluzione del contratto o il risarcimento del danno per violazione delle regole di condotta e di buona fede precontrattuale ex Articolo 1337 del Codice Civile.

Per quanto riguarda i requisiti formali nei contratti conclusi con mezzi elettronici, l'Articolo 51, comma 2 del Codice del Consumo impone che il professionista garantisca che, al momento di inoltrare l'ordine, il consumatore riconosca espressamente che l'ordine implica l'obbligo di pagare. Se l'inoltro dell'ordine implica di azionare un pulsante o una funzione analoga, il pulsante deve riportare in modo facilmente leggibile unicamente le parole 'ordine con obbligo di pagare' (c.d. Button-Lösung) o una formulazione corrispondente inequivocabile. In caso di violazione di questo obbligo formale, il consumatore non è vincolato dal contratto o dall'ordine e non è tenuto al pagamento.

Inoltre, ai sensi dell'Articolo 51, comma 6, nell'ipotesi di contratti conclusi per telefono (teleselling), il professionista deve confermare l'offerta al consumatore, il quale è vincolato solo dopo aver firmato l'offerta o dopo averla accettata per iscritto (anche mediante firma elettronica). Le conversazioni registrate sono idonee ad acquisire il consenso preliminare, ma la stipula si perfeziona solo con il successivo acconto scritto o su supporto durevole.

2.3 La Frontiera dell'Internet of Things: Il Caso Amazon Dash Button

L'evoluzione tecnologica verso l'Internet delle Cose (Internet of Things, IoT) e l'utilizzo di dispositivi ad attivazione vocale o privi di display hanno messo in evidenza l'inadeguatezza dei modelli tradizionali di informativa basati sulla presenza di uno schermo. Un caso emblematico è costituito dal dispositivo Amazon Dash Button, un piccolo pulsante Wi-Fi associato a un determinato prodotto di largo consumo (es. detersivo) che, se premuto, inoltra direttamente l'ordine di acquisto ad Amazon senza l'intermediazione di un display.

La pronuncia tedesca sui Dash Button rappresenta una pietra miliare che evidenzia lo scontro frontale tra la tutela classica dei consumatori, basata sulla disclosure documentale visiva, e le nuove forme di contrattazione vocale, invisibile o automatizzata. Come rilevato da Ettore Battelli e Geo Magri, l'assenza di un display impedisce al consumatore di esercitare una scelta realmente consapevole ed inequivocabile immediatamente prima della conclusione del contratto. Questa violazione sistematica degli obblighi di trasparenza e di corretta informazione precontrattuale non può essere giustificata da un preteso favor per l'innovazione tecnologica, poiché quest'ultima non può realizzarsi a danno dei diritti inderogabili dei contraenti deboli. Di conseguenza, il recesso di pentimento e la dicitura formale obbligatoria legata all'obbligo di pagare (Button-Lösung) rimangono presidi invalicabili anche nell'Internet of Things. Il professionista deve quindi riconsiderare i canali tecnologici per garantire che il consumatore possa accedere, con semplicità ed immediatezza, a tutte le informazioni essenziali prima che si crei il vincolo negoziale oneroso.

La legittimità di tale dispositivo è stata esaminata in Germania dai giudici del Landgericht München I (sentenza 1° marzo 2018) e dell'Oberlandesgericht München (sentenza 10 gennaio 2019). I giudici tedeschi hanno stabilito che l'Amazon Dash Button violava le disposizioni a tutela del consumatore (BGB § 312j, recepimento dell'Articolo 8, paragrafo 2 della Direttiva 2011/83/UE). Infatti, l'ordine veniva inoltrato senza che il consumatore potesse conoscere, nell'immediata prossimità temporale dell'acquisto, le caratteristiche del prodotto ordinato e il prezzo corrente applicato (che Amazon poteva modificare unilateralmente).

La pronuncia tedesca sui Dash Button rappresenta una pietra miliare che evidenzia lo scontro frontale tra la tutela classica dei consumatori, basata sulla disclosure documentale visiva, e le nuove forme di contrattazione vocale, invisibile o automatizzata. Come rilevato da Ettore Battelli e Geo Magri, l'assenza di un display impedisce al consumatore di esercitare una scelta realmente consapevole ed inequivocabile immediatamente prima della conclusione del contratto. Questa violazione sistematica degli obblighi di trasparenza e di corretta informazione precontrattuale non può essere giustificata da un preteso favor per l'innovazione tecnologica, poiché quest'ultima non può realizzarsi a danno dei diritti inderogabili dei contraenti deboli. Di conseguenza, il recesso di pentimento e la dicitura formale obbligatoria legata all'obbligo di pagare (Button-Lösung) rimangono presidi invalicabili anche nell'Internet of Things. Il professionista deve quindi riconsiderare i canali tecnologici per garantire che il consumatore possa accedere, con semplicità ed immediatezza, a tutte le informazioni essenziali prima che si crei il vincolo negoziale oneroso.

La difesa di Amazon invocava l'esenzione prevista dall'Articolo 3, paragrafo 3, lettera j) della Direttiva consumatori per la fornitura di beni destinati al consumo corrente nella famiglia fisicamente forniti da un professionista in giri frequenti e regolari. I giudici hanno superato questa obiezione rilevando che l'ordinamento tedesco non aveva recepito tale esenzione per i contratti conclusi per via elettronica. Il caso dimostra come il diritto dei consumi presupponga tradizionalmente un dispositivo dotato di display e come l'IoT imponga una riflessione de iure condendo per ridurre o semplificare gli obblighi informativi precontrattuali, magari limitandoli al momento della configurazione iniziale del dispositivo, purché vengano fornite garanzie adeguate in caso di variazioni unilaterali delle condizioni.

La pronuncia tedesca sui Dash Button rappresenta una pietra miliare che evidenzia lo scontro frontale tra la tutela classica dei consumatori, basata sulla disclosure documentale visiva, e le nuove forme di contrattazione vocale, invisibile o automatizzata. Come rilevato da Ettore Battelli e Geo Magri, l'assenza di un display impedisce al consumatore di esercitare una scelta realmente consapevole ed inequivocabile immediatamente prima della conclusione del contratto. Questa violazione sistematica degli obblighi di trasparenza e di corretta informazione precontrattuale non può essere giustificata da un preteso favor per l'innovazione tecnologica, poiché quest'ultima non può realizzarsi a danno dei diritti inderogabili dei contraenti deboli. Di conseguenza, il recesso di pentimento e la dicitura formale obbligatoria legata all'obbligo di pagare (Button-Lösung) rimangono presidi invalicabili anche nell'Internet of Things. Il professionista deve quindi riconsiderare i canali tecnologici per garantire che il consumatore possa accedere, con semplicità ed immediatezza, a tutte le informazioni essenziali prima che si crei il vincolo negoziale oneroso. Gli obblighi informativi precontrattuali elencati dall'Articolo 49 rappresentano lo strumento cardine per il superamento dell'asimmetria informativa. Il legislatore comunitario ha dettagliato minuziosamente ogni singola informazione al fine di evitare omissioni ingannevoli. Le lettere da a) a v) includono elementi non solo economici (come spese di spedizione, imposte e costi di consegna ex lettera e), ma anche procedurali (come le modalità di esercizio del recesso, la disponibilità di moduli tipo ex lettera h, e le condizioni di assistenza post-vendita). La mancata o inesatta fornitura di queste informazioni integra un inadempimento contrattuale grave, legittimando il consumatore a richiedere la risoluzione del contratto o il risarcimento del danno per violazione delle regole di condotta e di buona fede precontrattuale ex Articolo 1337 del Codice Civile.

2.4 Diritto di Recesso, Consegna e Passaggio del Rischio

Il diritto di recesso (o ius poenitendi) rappresenta lo strumento di tutela più forte per il consumatore nei contratti a distanza. Ai sensi dell'Articolo 52 del Codice del Consumo, il consumatore dispone di un periodo di 14 giorni di calendario per recedere dal contratto senza dover fornire alcuna motivazione e senza sostenere costi (fatta eccezione per le spese dirette di restituzione del bene, purché preventivamente informato). Il termine decorre dalla conclusione del contratto per i servizi e dal giorno dell'acquisizione del possesso fisico dei beni per i contratti di vendita.

Il diritto di recesso di pentimento si configura come uno strumento di bilanciamento contro l'effetto sorpresa delle vendite a distanza. Lo 'ius poenitendi' prescinde da qualsiasi motivazione o addebito e non comporta penali per il consumatore. Tuttavia, la disciplina deve contemperare anche i legittimi interessi economici del professionista, prevedendo limitazioni tassative ex Articolo 59. Ad esempio, la fornitura di beni sigillati aperti dopo la consegna, beni personalizzati, o contenuti digitali online avviati con il consenso del consumatore, sono sottratti al recesso per evitare comportamenti opportunistici o abusi dello strumento contrattuale da parte del consumatore.

Se il professionista non adempie agli obblighi informativi sul diritto di recesso, il periodo di recesso scade 12 mesi dopo la fine del periodo di recesso iniziale (Articolo 53). Qualora il professionista fornisca le informazioni entro questi 12 mesi, il termine di recesso di 14 giorni scatta dal giorno successivo al ricevimento delle informazioni. L'Articolo 59 prevede specifiche eccezioni tassative al diritto di recesso, tra cui la fornitura di beni confezionati su misura o chiaramente personalizzati, beni sigillati che non si prestano a restituzione per motivi igienici e sono stati aperti, o la fornitura di contenuto digitale mediante supporto non materiale se l'esecuzione è iniziata con il consenso espresso del consumatore e la sua accettazione della perdita del recesso.

Gli obblighi informativi precontrattuali elencati dall'Articolo 49 rappresentano lo strumento cardine per il superamento dell'asimmetria informativa. Il legislatore comunitario ha dettagliato minuziosamente ogni singola informazione al fine di evitare omissioni ingannevoli. Le lettere da a) a v) includono elementi non solo economici (come spese di spedizione, imposte e costi di consegna ex lettera e), ma anche procedurali (come le modalità di esercizio del recesso, la disponibilità di moduli tipo ex lettera h, e le condizioni di assistenza post-vendita). La mancata o inesatta fornitura di queste informazioni integra un inadempimento contrattuale grave, legittimando il consumatore a richiedere la risoluzione del contratto o il risarcimento del danno per violazione delle regole di condotta e di buona fede precontrattuale ex Articolo 1337 del Codice Civile.

In merito all'esecuzione del contratto, l'Articolo 61 stabilisce che il professionista deve consegnare i beni senza indebito ritardo e comunque non oltre 30 giorni dalla conclusione del contratto. In caso di inadempimento, il consumatore lo invita a effettuare la consegna entro un termine supplementare appropriato, scaduto il quale è legittimato a risolvere il contratto.

Il passaggio del rischio è disciplinato dall'Articolo 63 del Codice del Consumo (recepimento dell'Articolo 20 della Direttiva). In deroga alle regole del codice civile sul principio consensualistico, nei contratti con il consumatore il rischio della perdita o del danneggiamento dei beni, per causa non imputabile al venditore, si trasferisce al consumatore soltanto nel momento in cui quest'ultimo (o un terzo da lui designato e diverso dal vettore) acquisisce il possesso fisico dei beni. Il rischio si trasferisce al consumatore già al momento della consegna al vettore solo qualora quest'ultimo sia stato scelto dal consumatore senza proposta del professionista.

2.5 Specificazione delle Clausole Vessatorie in Rete e Firme Elettroniche

La contrattazione standardizzata online tramite moduli predisposti unilateralmente (point-and-click) solleva complessi problemi di coordinamento tra la tutela consumeristica sostanziale (Articoli 33 ss. Codice del Consumo) e la tutela formale classica prevista dall'Articolo 1341, comma 2 del Codice Civile, applicabile anche ai rapporti tra professionisti (B2B). Quest'ultima disposizione impone la specifica approvazione per iscritto a pena di inefficacia delle clausole onerose e vessatorie.

La dottrina specialistica (Giuliana Cerdonio Chiaromonte) analizza con estrema precisione i riflessi della contrattazione online (point-and-click) nei contratti standardizzati tra professionisti (B2B). Poiché la specifica approvazione per iscritto delle clausole vessatorie ai sensi dell'Articolo 1341, comma 2 c.c. ha una valenza formale e al contempo sostanziale volta a stimolare l'attenzione del contraente aderente, si deve ritenere che un doppio point-and-click (di cui uno specificamente riferito all'elenco delle clausole onerose), eseguito previa autenticazione con credenziali personali (username e password), costituisca una firma elettronica semplice perfettamente idonea a soddisfare il requisito formale della forma scritta, in conformità all'Articolo 21 del Codice dell'Amministrazione Digitale (CAD). Questo approccio garantisce l'efficacia dei contratti telematici senza paralizzare l'autonomia privata con la richiesta di firme digitali forti, impraticabili per la velocità delle transazioni online. Il giudice comune dovrà valutare, caso per caso, l'idoneità tecnica del sistema a destare l'attenzione cosciente del contraente debole. L'Articolo 13 del D.Lgs. 70/2003, in merito alla ricevuta dell'ordine telematico, non costituisce un mero adempimento formale, ma risponde alla finalità di confermare la conclusione del vincolo contrattuale e di fissare su un supporto durevole gli elementi essenziali del regolamento negoziale. La ricevuta deve essere inviata senza ingiustificato ritardo per via elettronica e deve contenere la sintesi delle condizioni, il prezzo, i mezzi di pagamento, il recesso e le imposte applicabili. Essa funge da documento di sintesi a tutela dell'aderente.

La dottrina e la giurisprudenza si sono a lungo interrogate su come soddisfare il requisito della 'forma scritta' di tale specifica approvazione in ambiente digitale. Una tesi restrittiva (seguita ad esempio dal Tribunale di Catanzaro nel 2012) ritiene necessaria l'apposizione di una firma elettronica qualificata o firma digitale, escludendo l'idoneità del mero point-and-click. Questa interpretazione rende tuttavia di fatto impossibile l'inserimento di clausole vessatorie nella contrattazione online rapida, comprimendo in modo irragionevole l'autonomia privata.

La dottrina specialistica (Giuliana Cerdonio Chiaromonte) analizza con estrema precisione i riflessi della contrattazione online (point-and-click) nei contratti standardizzati tra professionisti (B2B). Poiché la specifica approvazione per iscritto delle clausole vessatorie ai sensi dell'Articolo 1341, comma 2 c.c. ha una valenza formale e al contempo sostanziale volta a stimolare l'attenzione del contraente aderente, si deve ritenere che un doppio point-and-click (di cui uno specificamente riferito all'elenco delle clausole onerose), eseguito previa autenticazione con credenziali personali (username e password), costituisca una firma elettronica semplice perfettamente idonea a soddisfare il requisito formale della forma scritta, in conformità all'Articolo 21 del Codice dell'Amministrazione Digitale (CAD). Questo approccio garantisce l'efficacia dei contratti telematici senza paralizzare l'autonomia privata con la richiesta di firme digitali forti, impraticabili per la velocità delle transazioni online. Il giudice comune dovrà valutare, caso per caso, l'idoneità tecnica del sistema a destare l'attenzione cosciente del contraente debole.

Un orientamento dottrinale più elastico e condivisibile (analizzato da Giuliana Cerdonio Chiaromonte) propone di superare la rigida identificazione tra forma scritta e firma forte. Ai sensi dell'Articolo 21 del Codice dell'Amministrazione Digitale (CAD), modificato dal D.Lgs. 179/2016, il documento informatico sottoscritto con firma elettronica semplice (FES, come le credenziali di login associate alla pressione di un pulsante) soddisfa il requisito della forma scritta per tutti gli atti che non rientrano nell'Articolo 1350 c.c. (il quale impone la firma avanzata o qualificata ad substantiam per specifiche tipologie di atti, come i trasferimenti immobiliari).

La dottrina specialistica (Giuliana Cerdonio Chiaromonte) analizza con estrema precisione i riflessi della contrattazione online (point-and-click) nei contratti standardizzati tra professionisti (B2B). Poiché la specifica approvazione per iscritto delle clausole vessatorie ai sensi dell'Articolo 1341, comma 2 c.c. ha una valenza formale e al contempo sostanziale volta a stimolare l'attenzione del contraente aderente, si deve ritenere che un doppio point-and-click (di cui uno specificamente riferito all'elenco delle clausole onerose), eseguito previa autenticazione con credenziali personali (username e password), costituisca una firma elettronica semplice perfettamente idonea a soddisfare il requisito formale della forma scritta, in conformità all'Articolo 21 del Codice dell'Amministrazione Digitale (CAD). Questo approccio garantisce l'efficacia dei contratti telematici senza paralizzare l'autonomia privata con la richiesta di firme digitali forti, impraticabili per la velocità delle transazioni online. Il giudice comune dovrà valutare, caso per caso, l'idoneità tecnica del sistema a destare l'attenzione cosciente del contraente debole. L'Articolo 13 del D.Lgs. 70/2003, in merito alla ricevuta dell'ordine telematico, non costituisce un mero adempimento formale, ma risponde alla finalità di confermare la conclusione del vincolo contrattuale e di fissare su un supporto durevole gli elementi essenziali del regolamento negoziale. La ricevuta deve essere inviata senza ingiustificato ritardo per via elettronica e deve contenere la sintesi delle condizioni, il prezzo, i mezzi di pagamento, il recesso e le imposte applicabili. Essa funge da documento di sintesi a tutela dell'aderente.

Poiché la specifica approvazione delle clausole vessatorie ex Articolo 1341 c.c. non è qualificabile come una forma ad substantiam rientrante nell'Articolo 1350 c.c., bensì come una formalità procedimentale integrativa del consenso volta a sollevare l'attenzione dell'aderente (la cui mancanza determina inefficacia o nullità relativa), si deve concludere per la sufficienza della firma elettronica semplice. Sul piano pratico, la predisposizione di un apposito form con la visualizzazione specifica delle clausole onerose e un doppio 'point-and-click' di accettazione, garantisce pienamente la ratio di tutela di consapevolezza voluta dal legislatore civile.

La dottrina specialistica (Giuliana Cerdonio Chiaromonte) analizza con estrema precisione i riflessi della contrattazione online (point-and-click) nei contratti standardizzati tra professionisti (B2B). Poiché la specifica approvazione per iscritto delle clausole vessatorie ai sensi dell'Articolo 1341, comma 2 c.c. ha una valenza formale e al contempo sostanziale volta a stimolare l'attenzione del contraente aderente, si deve ritenere che un doppio point-and-click (di cui uno specificamente riferito all'elenco delle clausole onerose), eseguito previa autenticazione con credenziali personali (username e password), costituisca una firma elettronica semplice perfettamente idonea a soddisfare il requisito formale della forma scritta, in conformità all'Articolo 21 del Codice dell'Amministrazione Digitale (CAD). Questo approccio garantisce l'efficacia dei contratti telematici senza paralizzare l'autonomia privata con la richiesta di firme digitali forti, impraticabili per la velocità delle transazioni online. Il giudice comune dovrà valutare, caso per caso, l'idoneità tecnica del sistema a destare l'attenzione cosciente del contraente debole. L'Articolo 13 del D.Lgs. 70/2003, in merito alla ricevuta dell'ordine telematico, non costituisce un mero adempimento formale, ma risponde alla finalità di confermare la conclusione del vincolo contrattuale e di fissare su un supporto durevole gli elementi essenziali del regolamento negoziale. La ricevuta deve essere inviata senza ingiustificato ritardo per via elettronica e deve contenere la sintesi delle condizioni, il prezzo, i mezzi di pagamento, il recesso e le imposte applicabili. Essa funge da documento di sintesi a tutela dell'aderente.

3.1 Il Regolamento Geoblocking (UE) 2018/302

Nel quadro della Strategia per il Mercato Unico Digitale, l'Unione Europea ha adottato il Regolamento (UE) 2018/302, noto come Regolamento Geoblocking, entrato in vigore il 3 dicembre 2018. Il regolamento vieta i blocchi geografici ingiustificati e altre forme di discriminazione dei clienti basate sulla nazionalità, sul luogo di residenza o sul luogo di stabilimento nell'ambito del mercato interno.

Le pratiche di geoblocking si manifestano tipicamente attraverso il blocco o la limitazione dell'accesso alle interfacce online (siti web o applicazioni), ovvero attraverso il reindirizzamento automatico del cliente a una versione locale del sito senza il suo consenso espresso, applicando condizioni di vendita o tariffe diverse in base alla localizzazione geografica. Il regolamento vieta tali comportamenti, imponendo che a tutti i clienti dell'Unione sia garantito l'accesso alle medesime condizioni generali di contratto applicate ai clienti locali, senza discriminazioni ingiustificate per quanto riguarda la vendita di beni materiali, l'accesso a servizi prestati tramite mezzi elettronici (esclusi quelli coperti da copyright) e i servizi di ricezione fisica.

3.2 La Direttiva (UE) 2019/770 sui Contenuti e Servizi Digitali

La Direttiva (UE) 2019/770 definisce un quadro contrattuale armonizzato per la fornitura di contenuti digitali (dati prodotti e forniti in formato digitale, come software, app, ebook, file musicali) e servizi digitali (servizi che consentono la creazione, trasformazione o archiviazione di dati in formato digitale, come social network, cloud storage, webmail, streaming di file audio/video).

L'aspetto di straordinaria rilevanza della Direttiva 2019/770 risiede nell'estensione del suo ambito di applicazione a tutti i contratti in cui il professionista fornisce un contenuto o un servizio digitale al consumatore e quest'ultimo non paga un prezzo in denaro, bensì 'fornisce o si impegna a fornire dati personali'. Viene in tal modo riconosciuta la rilevanza giuridica ed economica del fenomeno dei dati personali intesi come controprestazione non pecuniaria nell'economia digitale. Sono escluse dall'applicazione i trattamenti in cui i dati sono raccolti esclusivamente per consentire l'assolvimento degli obblighi di legge o per la fornitura tecnica del servizio.

La direttiva introduce dettagliati requisiti soggettivi (conformità alle descrizioni contrattuali, quantità, qualità, aggiornamenti pattuiti) e oggettivi di conformità. Tra questi ultimi, assume rilievo l'obbligo del professionista di fornire tutti gli aggiornamenti di sicurezza necessari per mantenere conforme il servizio per un periodo ragionevole. In caso di difetto di conformità, la direttiva stabilisce una gerarchia di rimedi a tutela del consumatore: (i) il ripristino della conformità senza spese; (ii) la riduzione del prezzo o la risoluzione del contratto. Poiché nei contratti gratuiti con dati personali la riduzione del prezzo è inapplicabile, il consumatore ha diritto alla risoluzione immediata anche per difetti di lieve entità.

3.3 La Direttiva (UE) 2019/771 sulla Vendita di Beni con Elementi Digitali

La Direttiva (UE) 2019/771 si applica ai contratti di vendita di beni mobili materiali, introducendo una specifica disciplina per i beni con elementi digitali. Questi ultimi sono definiti come beni materiali che incorporano o sono interconnessi con un contenuto o servizio digitale in modo tale che la mancanza di quest'ultimo impedirebbe al bene di svolgere le sue funzioni (es. smartphone, smartwatch, smart TV).

La direttiva impone al venditore l'obbligo di notificare e fornire al consumatore tutti gli aggiornamenti necessari, inclusi gli aggiornamenti di sicurezza, per mantenere conformi tali dispositivi. Se il contratto prevede una fornitura continuativa del contenuto digitale (es. sistema di navigazione), la responsabilità per la conformità si estende per l'intero periodo di durata del contratto o per un periodo minimo di due anni dalla consegna. Qualora il consumatore decida di non installare gli aggiornamenti forniti entro un termine ragionevole, il venditore è esonerato dalla responsabilità per i difetti derivanti unicamente dalla mancanza dell'aggiornamento.

3.4 La Direttiva Modernizzazione 2019/2161 (Omnibus)

La Direttiva (UE) 2019/2161, nota come Direttiva Omnibus, ha integrato e modernizzato le norme dell'Unione a tutela dei consumatori, in particolare sul piano della trasparenza e dell'enforcement, modificando la Direttiva 93/13/CEE sulle clausole abusive, la Direttiva 98/6/CE sull'indicazione dei prezzi, la Direttiva 2005/29/CE sulle pratiche commerciali sleali e la Direttiva 2011/83/UE sui contratti dei consumatori.

Le principali novità introdotte riguardano obblighi di trasparenza rigorosi per le piattaforme di mercato online (marketplaces). I gestori dei mercati online devono informare chiaramente i consumatori in merito ai principali parametri che determinano la classificazione (ranking) delle offerte presentate nei risultati di ricerca, indicando se il venditore terzo è un professionista o un privato (avvertendo che in quest'ultimo caso non si applicano le tutele consumeristiche). Viene inoltre introdotto il divieto di pubblicare recensioni false o di affermare che provengono da consumatori reali senza aver preventivamente verificato l'effettivo acquisto o utilizzo del prodotto.

4.1 I Principi Ispiratori e l'Ambito di Applicazione del GDPR

Il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, noto come Regolamento Generale sulla Protezione dei Dati (General Data Protection Regulation - GDPR), costituisce la pietra angolare della tutela della privacy nell'era digitale. Entrato direttamente in vigore in tutti gli Stati membri il 25 maggio 2018, ha sostituito la previgente Direttiva 95/46/CE con l'obiettivo di superare la frammentazione normativa nazionale e di restituire alle persone fisiche il controllo effettivo dei propri dati personali.

Nel nostro ordinamento nazionale, l'adeguamento al GDPR è stato realizzato tramite il Decreto Legislativo 10 agosto 2018, n. 101, che ha profondamente novellato e coordinato il preesistente Codice della Privacy (D.Lgs. 30 giugno 2003, n. 196).

La disciplina del trattamento dei dati è guidata dai principi fondamentali enunciati nell'Articolo 5 del GDPR, i quali definiscono le condizioni di liceità di qualsiasi operazione di elaborazione. Tali principi comprendono: (i) liceità, correttezza e trasparenza; (ii) limitazione della finalità (i dati devono essere raccolti per scopi determinati, espliciti e legittimi, senza poter essere trattati in modo incompatibile); (iii) minimizzazione dei dati (i dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità); (iv) esattezza e aggiornamento; (v) limitazione della conservazione (conservati per un tempo non superiore al conseguimento delle finalità); (vi) integrità e riservatezza (garantendo la massima sicurezza e la protezione da perdite o danni). L'Articolo 5, paragrafo 2 introduce l'essenziale principio della responsabilizzazione (accountability), che pone in capo al titolare l'onere di dimostrare di aver concretamente adottato misure adeguate e conformi al regolamento.

4.2 Le Basi Giuridiche e la Nuova Disciplina del Consenso

Ai sensi dell'Articolo 6 del GDPR, il trattamento dei dati personali è lecito solo se poggia su almeno una delle sei basi giuridiche tassative: il consenso dell'interessato, l'esecuzione di un contratto o di misure precontrattuali, l'adempimento di un obbligo legale del titolare, la salvaguardia di interessi vitali, l'esecuzione di un compito di interesse pubblico, o il perseguimento del legittimo interesse del titolare, a condizione che non prevalgano i diritti e le libertà fondamentali dell'interessato.

La disciplina del consenso è rigorosamente delineata dall'Articolo 7 del GDPR, il quale impone che il consenso sia libero, specifico, informato e inequivocabile. Qualora sia prestato nell'ambito di una dichiarazione scritta che riguarda anche altre materie, la richiesta di consenso deve essere chiaramente distinguibile e presentata con un linguaggio semplice e comprensibile. L'interessato ha il diritto di revocare il consenso in qualsiasi momento con la stessa facilità con cui lo ha prestato.

L'Articolo 8 del GDPR e l'Articolo 2-quinquies del Codice Privacy coordinato disciplinano invece il consenso del minore nei servizi della società dell'informazione. In Italia, l'età minima per prestare validamente il consenso autonomo è fissata a 14 anni (rispetto ai 16 anni del testo del regolamento). Per i minori di anni 14, il trattamento è lecito solo se il consenso è prestato o autorizzato dal titolare della responsabilità genitoriale, imponendo al titolare del trattamento l'obbligo di adoperarsi in ogni modo ragionevole per verificare l'effettiva paternità dell'autorizzazione.

4.3 Privacy by Design, by Default e Rischi del Cloud Computing

L'Articolo 25 del GDPR introduce i principi della protezione dei dati fin dalla progettazione (Privacy by Design) e della protezione dei dati per impostazione predefinita (Privacy by Default). Il titolare del trattamento è obbligato a integrare le garanzie necessarie nel sistema di trattamento fin dalla fase di determinazione dei mezzi di elaborazione (progettazione del software o del servizio), e deve garantire per impostazione predefinita che siano trattati solo i dati personali strettamente necessari per ogni specifica finalità del trattamento (limitando la quantità di dati raccolti, il periodo di conservazione e l'accessibilità).

Questi principi assumono un rilievo cruciale nel contesto del cloud computing, caratterizzato dall'esternalizzazione di dati e documenti su server remoti di fornitori specializzati. L'esternalizzazione comporta una parziale perdita di controllo sui dati personali. Le infrastrutture di cloud pubblico sono spesso complesse e distribuite in diverse aree geografiche, sollevando rischi legati alla riservatezza, all'impossibilità di conoscere l'esatta ubicazione fisica dei dati e alla corretta gestione dei rapporti con il provider (che agisce come responsabile del trattamento ex Articolo 28 GDPR). Gli utenti, specialmente le piccole e medie imprese, devono pertanto privilegiare fornitori che offrano garanzie contrattuali adeguate e standard aperti, gestendo attivamente i rischi attraverso misure di cifratura e backup costanti.

5.1 L'Articolo 22 del GDPR e i Confini della Profilazione

L'utilizzo massivo dei Big Data, processati attraverso algoritmi avanzati e sistemi di intelligenza artificiale, consente l'elaborazione di profili dettagliati degli individui (profilazione). L'Articolo 4, punto 4 del GDPR definisce la profilazione come qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere l'aspetto professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità o il comportamento.

A tutela degli individui, l'Articolo 22 del GDPR stabilisce il principio generale secondo cui l'interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.

Questo principio è temperato da tre eccezioni tassative: (i) se la decisione è necessaria per la conclusione o l'esecuzione di un contratto tra l'interessato e un titolare del trattamento; (ii) se è autorizzata dal diritto dell'Unione o dello Stato membro; (iii) se si basa sul consenso esplicito dell'interessato. Nei casi di contratto o consenso, il titolare deve comunque attuare misure adeguate a tutela dei diritti dell'interessato, tra cui almeno il diritto di ottenere l'intervento umano da parte del titolare, di esprimere la propria opinione e di contestare la decisione.

5.2 Le Tipologie di Opacità e il Dibattito sul 'Diritto ad una Spiegazione'

L'intricato funzionamento matematico degli algoritmi di Machine Learning e Deep Learning genera il problema della cosiddetta opacità delle decisioni automatizzate. La letteratura scientifica (Burrell) distingue tre tipologie di opacità: (1) opacità intenzionale, derivante dalla protezione del codice sorgente tramite segreto commerciale, brevetti o proprietà intellettuale (clash con Considerandi 63 e Considerando 71); (2) opacità intellettiva, derivante dalla difficoltà per il consumatore medio di comprendere formule matematiche complesse (trap of information overload o disclosurism, che richiede invece uno standard di intellegibilità basato su chiarezza e accessibilità); (3) opacità intrinseca, derivante dalla natura stessa degli algoritmi 'black box', dove le variabili e le correlazioni estratte dalla macchina non sono ripercorribili ex post neanche dai programmatori.

In questo contesto, la dottrina si è interrogata sull'esistenza di un vero e proprio 'diritto ad una spiegazione significativa' del funzionamento dell'algoritmo. Gli Articoli 13, 14 e 15 del GDPR stabiliscono che, in caso di processi decisionali automatizzati, il titolare debba fornire informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato. Questa interpretazione è corroborata dal Considerando 71, che menziona espressamente il diritto dell'interessato di 'ottenere una spiegazione della decisione conseguita dopo tale valutazione'.

Le sentenze del TAR Lazio e del Consiglio di Stato segnano un'evoluzione decisiva nell'enforcement del principio di trasparenza nei processi decisionali automatizzati della Pubblica Amministrazione. Di fronte all'utilizzo di algoritmi per l'assegnazione di compiti e posizioni (come nel caso del personale docente gestito dal MIUR), i giudici amministrativi hanno chiarito che l'algoritmo non è una scatola nera inaccessibile e protetta da segreti industriali invalicabili di fronte al cittadino. Il 'diritto ad una spiegazione significativa' si traduce nel principio di piena conoscibilità ed intelligibilità della formula tecnica, la quale deve essere tradotta in un linguaggio accessibile ai consociati e al giudice, affinché sia sempre verificabile la corrispondenza dell'atto automatizzato alla regola giuridica ad esso sottesa. La tecnologia deve essere al servizio della trasparenza democratica e non può costituire uno schermo per decisioni arbitrarie o discriminatorie, come espresso anche nell'Articolo 22 del GDPR.

Per superare il conflitto con il segreto industriale dei software, si propone il ricorso a modelli di spiegazione 'soggetto-centrici', tra cui spicca la spiegazione controfattuale. La spiegazione controfattuale (basata su metodologie quali LIME, PI o LOCO) non rivela il codice sorgente o il funzionamento complessivo del software, ma indica all'interessato quali variabili specifiche del suo caso concreto avrebbero dovuto cambiare (e in quale misura) per ottenere un risultato diverso, consentendogli in tal modo di esercitare consapevolmente la propria autodeterminazione e di contestare l'esito discriminatorio.

Le sentenze del TAR Lazio e del Consiglio di Stato segnano un'evoluzione decisiva nell'enforcement del principio di trasparenza nei processi decisionali automatizzati della Pubblica Amministrazione. Di fronte all'utilizzo di algoritmi per l'assegnazione di compiti e posizioni (come nel caso del personale docente gestito dal MIUR), i giudici amministrativi hanno chiarito che l'algoritmo non è una scatola nera inaccessibile e protetta da segreti industriali invalicabili di fronte al cittadino. Il 'diritto ad una spiegazione significativa' si traduce nel principio di piena conoscibilità ed intelligibilità della formula tecnica, la quale deve essere tradotta in un linguaggio accessibile ai consociati e al giudice, affinché sia sempre verificabile la corrispondenza dell'atto automatizzato alla regola giuridica ad esso sottesa. La tecnologia deve essere al servizio della trasparenza democratica e non può costituire uno schermo per decisioni arbitrarie o discriminatorie, come espresso anche nell'Articolo 22 del GDPR.

5.3 Giurisprudenza Nazionale: TAR Lazio 3769/2017 e Consiglio di Stato 2270/2019

La giurisprudenza amministrativa italiana ha affrontato con rigore il tema dell'utilizzo di algoritmi per l'adozione di decisioni amministrative interamente automatizzate, in particolare nel settore scolastico con riferimento alla mobilità dei docenti gestita dal Ministero dell'Istruzione (MIUR).

Nella sentenza del TAR Lazio, Sezione III-bis, n. 3769/2017, i giudici hanno esaminato il ricorso di un'associazione sindacale di insegnanti che richiedeva l'accesso al codice sorgente del software utilizzato dal MIUR per i trasferimenti. Il Ministero aveva rifiutato l'accesso, ritenendo sufficiente la consegna di un documento descrittivo sintetico dell'algoritmo. Il TAR Lazio ha accolto il ricorso, stabilendo che la scelta della Pubblica Amministrazione di adottare soluzioni tecnologiche innovative non può in alcun modo pregiudicare i diritti individuali di accesso riconosciuti dalla legge. L'algoritmo e il codice sorgente costituiscono a tutti gli effetti atti amministrativi informatici, come tali soggetti ai principi generali di trasparenza ed ostensibilità.

Le sentenze del TAR Lazio e del Consiglio di Stato segnano un'evoluzione decisiva nell'enforcement del principio di trasparenza nei processi decisionali automatizzati della Pubblica Amministrazione. Di fronte all'utilizzo di algoritmi per l'assegnazione di compiti e posizioni (come nel caso del personale docente gestito dal MIUR), i giudici amministrativi hanno chiarito che l'algoritmo non è una scatola nera inaccessibile e protetta da segreti industriali invalicabili di fronte al cittadino. Il 'diritto ad una spiegazione significativa' si traduce nel principio di piena conoscibilità ed intelligibilità della formula tecnica, la quale deve essere tradotta in un linguaggio accessibile ai consociati e al giudice, affinché sia sempre verificabile la corrispondenza dell'atto automatizzato alla regola giuridica ad esso sottesa. La tecnologia deve essere al servizio della trasparenza democratica e non può costituire uno schermo per decisioni arbitrarie o discriminatorie, come espresso anche nell'Articolo 22 del GDPR.

Inoltre, il Consiglio di Stato, con la celebre sentenza n. 2270/2019, ha confermato e rafforzato questi principi, enunciando il fondamentale principio di diritto per cui l'algoritmo deve essere pienamente conoscibile. I giudici di Palazzo Spada hanno statuito che la 'caratterizzazione multidisciplinare' dell'algoritmo non esime dalla necessità che la formula tecnica sia corredata da spiegazioni che la traducano nella 'regola giuridica' ad essa sottesa, rendendola leggibile e comprensibile sia per i cittadini che per il giudice. Il meccanismo robotizzato deve rispettare i principi di trasparenza, non discriminazione algoritmica e logicità, garantendo l'effettiva sindacabilità della decisione amministrativa.

Le sentenze del TAR Lazio e del Consiglio di Stato segnano un'evoluzione decisiva nell'enforcement del principio di trasparenza nei processi decisionali automatizzati della Pubblica Amministrazione. Di fronte all'utilizzo di algoritmi per l'assegnazione di compiti e posizioni (come nel caso del personale docente gestito dal MIUR), i giudici amministrativi hanno chiarito che l'algoritmo non è una scatola nera inaccessibile e protetta da segreti industriali invalicabili di fronte al cittadino. Il 'diritto ad una spiegazione significativa' si traduce nel principio di piena conoscibilità ed intelligibilità della formula tecnica, la quale deve essere tradotta in un linguaggio accessibile ai consociati e al giudice, affinché sia sempre verificabile la corrispondenza dell'atto automatizzato alla regola giuridica ad esso sottesa. La tecnologia deve essere al servizio della trasparenza democratica e non può costituire uno schermo per decisioni arbitrarie o discriminatorie, come espresso anche nell'Articolo 22 del GDPR.

6.1 Le Origini Giurisprudenziali: La Sentenza Google Spain (CGUE, 2014)

Il diritto all'oblio (right to be forgotten), inteso come il diritto di un individuo a non veder riproposti fatti e vicende del proprio passato che lo hanno visto protagonista e la cui divulgazione non risponda più a un effettivo interesse pubblico, ha trovato la sua prima e storica consacrazione giudiziaria a livello europeo con la sentenza della Corte di Giustizia dell'Unione Europea del 13 maggio 2014 nel caso Google Spain (causa C-131/12, Mario Costeja González contro Google Spain SL e Google Inc.).

L'ordinanza n. 9147/2020 della Corte di Cassazione Civile fissa una distinzione fondamentale tra cancellazione e deindicizzazione, offrendo un mirabile esempio di bilanciamento costituzionale. La Cassazione ripercorre la genesi del diritto all'oblio a partire dalla celebre sentenza Google Spain, evidenziando che l'oblio non può essere utilizzato come strumento di censura o di distruzione della memoria storica del Paese. Gli archivi digitali delle testate giornalistiche rappresentano una fonte documentaria preziosa ed ineliminabile. Pertanto, mentre l'individuo ha il pieno diritto di non vedere il proprio nome associato a vicende passate e ormai prive di interesse pubblico ad ogni ricerca generalista sul web, la notizia originaria deve poter rimanere conservata nell'archivio online dell'editore, restando reperibile solo attraverso ricerche specifiche e mirate, e non per query nominali generaliste. Questo equilibra il diritto alla riservatezza personale e all'identità digitale con il diritto all'informazione, alla cronaca e alla conservazione storica, in piena conformità ai Considerando 65 e 66 del GDPR.

Il sig. Costeja González aveva presentato un reclamo contro il quotidiano La Vanguardia e contro Google, lamentando che digitando il proprio nome sul motore di ricerca comparissero i link a due pagine del quotidiano risalenti al 1998, nelle quali il suo nome era associato ad un'asta immobiliare connessa ad un pignoramento per crediti previdenziali. Poiché la procedura era terminata da molti anni e il debito era stato interamente saldato, egli chiedeva la rimozione o la deindicizzazione di tali risultati.

La Corte di Giustizia ha stabilito un principio rivoluzionario, qualificando il gestore del motore di ricerca como 'titolare del trattamento' dei dati personali ai sensi della Direttiva 95/46/CE. I giudici hanno statuito che il motore di ricerca è obbligato, su richiesta dell'interessato, a rimuovere dall'elenco dei risultati visualizzato a seguito di una ricerca effettuata a partire dal suo nome, i link a pagine web pubblicate da terzi contenenti informazioni relative a tale persona. Questa deindicizzazione (delisting) deve essere effettuata anche nell'ipotesi in cui la pubblicazione originaria sulle pagine web sia di per sé lecita, qualora tali dati, con il decorso del tempo, appaiano inadeguati, non più pertinenti o eccessivi rispetto alle finalità del trattamento.

6.2 L'Articolo 17 del GDPR e i Criteri delle Linee Guida WP 225

Il diritto all'oblio è stato formalmente codificato nell'Articolo 17 del GDPR sotto la rubrica 'Diritto alla cancellazione (diritto all'oblio)'. L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo se ricorre uno dei motivi previsti (i dati non sono più necessari rispetto alle finalità, revoca del consenso, opposizione al trattamento, trattamento illecito, obbligo legale). Il par. 3 prevede tuttavia importanti eccezioni in cui la cancellazione è esclusa, in particolare qualora il trattamento sia necessario per l'esercizio del diritto alla libertà di espressione e di informazione.

L'ordinanza n. 9147/2020 della Corte di Cassazione Civile fissa una distinzione fondamentale tra cancellazione e deindicizzazione, offrendo un mirabile esempio di bilanciamento costituzionale. La Cassazione ripercorre la genesi del diritto all'oblio a partire dalla celebre sentenza Google Spain, evidenziando che l'oblio non può essere utilizzato come strumento di censura o di distruzione della memoria storica del Paese. Gli archivi digitali delle testate giornalistiche rappresentano una fonte documentaria preziosa ed ineliminabile. Pertanto, mentre l'individuo ha il pieno diritto di non vedere il proprio nome associato a vicende passate e ormai prive di interesse pubblico ad ogni ricerca generalista sul web, la notizia originaria deve poter rimanere conservata nell'archivio online dell'editore, restando reperibile solo attraverso ricerche specifiche e mirate, e non per query nominali generaliste. Questo equilibra il diritto alla riservatezza personale e all'identità digitale con il diritto all'informazione, alla cronaca e alla conservazione storica, in piena conformità ai Considerando 65 e 66 del GDPR. Il diritto di recesso di pentimento si configura come uno strumento di bilanciamento contro l'effetto sorpresa delle vendite a distanza. Lo 'ius poenitendi' prescinde da qualsiasi motivazione o addebito e non comporta penali per il consumatore. Tuttavia, la disciplina deve contemperare anche i legittimi interessi economici del professionista, prevedendo limitazioni tassative ex Articolo 59. Ad esempio, la fornitura di beni sigillati aperti dopo la consegna, beni personalizzati, o contenuti digitali online avviati con il consenso del consumatore, sono sottratti al recesso per evitare comportamenti opportunistici o abusi dello strumento contrattuale da parte del consumatore.

Per guidare i motori di ricerca e le autorità nazionali nella delicata opera di bilanciamento, il Gruppo di Lavoro Articolo 29 (WP29) ha pubblicato le Linee Guida del 26 novembre 2014 (WP 225). Le linee guida individuano una serie di criteri oggettivi per valutare la fondatezza di una richiesta di deindicizzazione: (i) il ruolo pubblico ricoperto dal soggetto (se si tratta di una figura pubblica prevale l'interesse della collettività alla conoscenza); (ii) la natura dei dati (i dati sensibili o riguardanti minori meritano una tutela rafforzata); (iii) l'accuratezza e l'aggiornamento della notizia; (iv) l'eventuale rischio per la sicurezza indotto dalla reperibilità del dato.

6.3 Giurisprudenza Nazionale: L'Ordinanza della Cassazione n. 9147/2020

La Corte di Cassazione Civile italiana si s'è pronunciata sul delicatissimo rapporto tra diritto all'oblio, diritto di cronaca e tutela degli archivi storici digitali con la fondamentale Ordinanza n. 9147 del 19 maggio 2020.

L'ordinanza n. 9147/2020 della Corte di Cassazione Civile fissa una distinzione fondamentale tra cancellazione e deindicizzazione, offrendo un mirabile esempio di bilanciamento costituzionale. La Cassazione ripercorre la genesi del diritto all'oblio a partire dalla celebre sentenza Google Spain, evidenziando che l'oblio non può essere utilizzato come strumento di censura o di distruzione della memoria storica del Paese. Gli archivi digitali delle testate giornalistiche rappresentano una fonte documentaria preziosa ed ineliminabile. Pertanto, mentre l'individuo ha il pieno diritto di non vedere il proprio nome associato a vicende passate e ormai prive di interesse pubblico ad ogni ricerca generalista sul web, la notizia originaria deve poter rimanere conservata nell'archivio online dell'editore, restando reperibile solo attraverso ricerche specifiche e mirate, e non per query nominali generaliste. Questo equilibra il diritto alla riservatezza personale e all'identità digitale con il diritto all'informazione, alla cronaca e alla conservazione storica, in piena conformità ai Considerando 65 e 66 del GDPR.

Il caso concreto riguardava S.A., amministratore unico di una società di rappresentanza di dispositivi medici, il quale aveva proposto ricorso lamentando il grave pregiudizio all'immagine derivante dalla presenza in rete dell'articolo giornalistico 'Truffa Asl di Teramo per fornitura di protesi, patteggia 8 mesi', pubblicato nel 2013 sul quotidiano online di X. Communication. Il Tribunale di Pescara, ritenendo esaurita la finalità di cronaca con la sentenza di patteggiamento, aveva ordinato all'editore la completa cancellazione dell'articolo dal proprio database.

La Suprema Corte ha cassato la decisione del tribunale, enunciando importanti principi di diritto in merito alla natura degli archivi storici online. La Cassazione ha rilevato che l'archivio online di una testata giornalistica, nel quale le notizie sono organizzate cronologicamente e contestualizzate, costituisce un tassello fondamentale della memoria storica collettiva. Disporre la cancellazione di un articolo da tale archivio equivale a strappare una pagina da un vecchio giornale cartaceo custodito in una biblioteca, determinando una mutilazione inaccettabile della storia.

Il bilanciamento tra il diritto all'oblio del singolo e l'interesse pubblico alla documentazione storica deve pertanto trovare soddisfazione nella deindicizzazione dell'articolo dai motori di ricerca generali (como Google), impedendo che la notizia riemerga digitando semplicemente il nome e cognome del soggetto sulla query del motore di ricerca, ma lasciando intatta e consultabile la notizia all'interno dell'archivio storico online della testata giornalistica.

L'ordinanza n. 9147/2020 della Corte di Cassazione Civile fissa una distinzione fondamentale tra cancellazione e deindicizzazione, offrendo un mirabile esempio di bilanciamento costituzionale. La Cassazione ripercorre la genesi del diritto all'oblio a partire dalla celebre sentenza Google Spain, evidenziando che l'oblio non può essere utilizzato come strumento di censura o di distruzione della memoria storica del Paese. Gli archivi digitali delle testate giornalistiche rappresentano una fonte documentaria preziosa ed ineliminabile. Pertanto, mentre l'individuo ha il pieno diritto di non vedere il proprio nome associato a vicende passate e ormai prive di interesse pubblico ad ogni ricerca generalista sul web, la notizia originaria deve poter rimanere conservata nell'archivio online dell'editore, restando reperibile solo attraverso ricerche specifiche e mirate, e non per query nominali generaliste. Questo equilibra il diritto alla riservatezza personale e all'identità digitale con il diritto all'informazione, alla cronaca e alla conservazione storica, in piena conformità ai Considerando 65 e 66 del GDPR.

7.1 La Net Neutrality (Regolamento UE 2015/2120)

Il principio della neutralità della rete (Net Neutrality) garantisce che tutto il traffico dati che viaggia su Internet sia trattato in modo equo e non discriminatorio da parte dei fornitori di servizi di accesso alla rete (ISP), senza blocchi, rallentamenti o degradazioni basati sull'origine, sulla destinazione, sui contenuti o sulle applicazioni utilizzate. A livello europeo, la materia è regolata dal Regolamento (UE) 2015/2120.

Il regolamento vieta le pratiche di gestione del traffico che si fondano su considerazioni di ordine commerciale, consentendo la gestione ragionevole del traffico solo per requisiti tecnici oggettivi di qualità del servizio (latenza, larghezza di banda). Sono previste eccezioni rigorose e temporanee per preservare l'integrità e la sicurezza della rete, conformarsi ad obblighi di legge o prevenire un'imminente congestione della rete.

7.2 Copyright e Reti Familiari: La Sentenza Bastei Lübbe (CGUE, 2018)

Il bilanciamento tra la tutela della proprietà intellettuale (diritto d'autore) e il diritto fondamentale al rispetto della vita privata e familiare è stato oggetto della sentenza della Corte di Giustizia del 18 ottobre 2018 nel caso Bastei Lübbe (causa C-149/17).

La casa editrice Bastei Lübbe richiedeva al sig. Michael Strotzer il risarcimento del danno per la violazione del diritto d'autore commessa tramite la condivisione di un audiolibro su una piattaforma di file-sharing peer-to-peer (P2P) attraverso la sua connessione internet domestica. Il sig. Strotzer si difendeva affermando che la connessione era accessibile anche ai suoi familiari (genitori), rifiutandosi tuttavia di fornire ulteriori dettagli in merito all'utilizzo effettivo della linea da parte di questi, avvalendosi della tutela costituzionale tedesca del nucleo familiare.

La Corte di Giustizia ha stabilito che gli Articoli 8 della Direttiva 2001/29/CE e 3 della Direttiva 2004/48/CE ostano a una normativa nazionale che esclude la responsabilità del titolare della connessione internet per il solo fatto che egli indichi un familiare che aveva la possibilità di accedere alla linea, senza fornire ulteriori precisazioni in merito al momento e alla natura dell'utilizzo. La Corte ha rilevato che una siffatta totale esclusione di responsabilità, priva di oneri di collaborazione minimi per identificare l'effettivo autore della violazione, rende impossibile per il titolare del diritto d'autore ottenere la tutela giurisdizionale effettiva, svuotando di significato il diritto di proprietà intellettuale.

7.3 I Nuovi Regolamenti della Strategia Digitale: DSA, DMA, DGA, Data Act e AI Act

Negli anni più recenti (2022-2026), l'Unione Europea ha attuato un imponente cambio di paradigma regolamentare, abbandonando il modello delle direttive per adottare regolamenti direttamente applicabili volti a dare una nuova governance alle piattaforme, del mercato e dei dati:

1. Digital Services Act (DSA - Regolamento UE 2022/2065): Modernizza il regime di responsabilità dei prestatori di hosting del D.Lgs. 70/2003, introducendo obblighi di diligenza asimmetrici proporzionati alla dimensione delle piattaforme, procedure armonizzate di segnalazione e rimozione dei contenuti illeciti (notice and action), il divieto assoluto di pratiche ingannevoli di design delle interfacce (dark patterns) e rigorosi obblighi di trasparenza per gli algoritmi di raccomandazione.

2. Digital Markets Act (DMA - Regolamento UE 2022/1925): Introduce una regolazione ex-ante per le grandi piattaforme d'intermediazione online designate come 'gatekeeper' (es. Alphabet, Amazon, Apple, Meta, Microsoft, ByteDance), imponendo obblighi positivi (interoperabilità dei servizi di messaggistica, accesso ai dati per gli utenti commerciali) e divieti (divieto di autoliquidazione o self-preferencing, divieto di combinare dati personali senza consenso esplicito), con sanzioni draconiane fino al 10% del fatturato globale in caso di non conformità.

3. Data Governance Act (DGA - Regolamento UE 2022/868) & Data Act (Regolamento UE 2023/2854): Il DGA disciplina l'intermediazione neutrale dei dati e promuove l'altruismo dei dati per fini di ricerca scientifica. Il Data Act garantisce ai consumatori e alle imprese il controllo e il diritto di accesso e portabilità dei dati generati dall'utilizzo di dispositivi connessi (IoT), limitando lo strapotere contrattuale dei fabbricanti e facilitando la transizione tra servizi cloud diversi.

4. Artificial Intelligence Act (AI Act - Regolamento UE 2024/1689): Rappresenta la prima legge organica al mondo sull'intelligenza artificiale. Adotta un approccio basato sul rischio, vietando pratiche a rischio inaccettabile (social scoring, manipolazione comportamentale, riconoscimento facciale in tempo reale) e imponendo severi obblighi di conformità, tracciabilità, sicurezza e Fundamental Rights Impact Assessments (FRIAs) per i sistemi ad alto rischio, nonché regole di trasparenza per i modelli di intelligenza artificiale generale (General Purpose AI - GPAI).