Per gli utenti italiani il verdetto non produce effetti diretti. Il 25 settembre 2026 una giuria di Santa Fe ha ritenuto che Facebook abbia ingannato i residenti del New Mexico sulla protezione dei loro dati, ma le sanzioni spettano allo Stato. In Italia il risarcimento passa dall'art. 82 del GDPR, con un danno da provare caso per caso.
Che cosa ha deciso la giuria
Il processo nasce da un'azione promossa nel 2021 dalla procura generale del New Mexico dopo lo scandalo Cambridge Analytica, la società che aveva ottenuto i dati di milioni di profili Facebook tramite un'applicazione di terze parti e li aveva usati per la propaganda elettorale del 2016.
Secondo le cronache del processo, la giuria del tribunale di Santa Fe ha accertato violazioni dell'Unfair Practices Act, la legge statale sulle pratiche commerciali sleali, in particolare su questi punti:
- le dichiarazioni rese agli utenti sul controllo che avrebbero avuto sulla condivisione delle proprie informazioni;
- gli impegni assunti dopo lo scandalo, come indagare sulle applicazioni che avevano raccolto grandi quantità di dati, svolgere verifiche, interrompere i rapporti con gli sviluppatori scorretti e avvisare le persone coinvolte;
- alcune affermazioni sulla gestione dei contenuti d'odio e della disinformazione.
Le violazioni contate sono oltre 43 milioni, perché la legge statale considera ogni comunicazione ingannevole rivolta a ciascun residente come una violazione autonoma.
Meta ha dichiarato di non condividere il verdetto e di voler continuare a difendersi; in aula i suoi legali hanno ammesso errori passati, negando però di aver venduto i dati degli utenti.
Quanto può costare a Meta, e a chi va il denaro
La giuria ha accertato le violazioni ma non ha fissato l'importo, che spetta al giudice Francis Mathew entro il limite di 5.000 dollari per violazione.
All'udienza di inizio ottobre lo Stato ha chiesto fra 35 e 40 miliardi di dollari, mentre Meta ha domandato di contenere la sanzione entro 3,45 miliardi; il giudice ha annunciato una decisione entro il mese di ottobre.
Si tratta di sanzioni civili chieste dalla procura nell'interesse pubblico: non è un'azione risarcitoria degli utenti e non prevede moduli di adesione per i singoli iscritti, tanto meno per chi risiede fuori dal New Mexico.
È un percorso distinto anche dal patteggiamento di agosto con 48 Stati, a cui il New Mexico non aveva aderito e che destinava circa 459 milioni di dollari alle pretese collegate a Cambridge Analytica, anch'essi ripartiti fra gli Stati.
Perché il verdetto non vale in Italia
Le ragioni sono tre, e nessuna dipende dal merito della vicenda:
- la decisione applica una legge del New Mexico e tutela i residenti di quello Stato;
- le somme, una volta liquidate, entrano nelle casse pubbliche statali e non nei conti degli utenti;
- davanti a un giudice italiano un verdetto americano è un fatto di cronaca, non un precedente né una prova del danno subito da un singolo utente europeo.
Il punto di contatto con il caso italiano
Il tema di fondo, cioè come Facebook ha descritto agli utenti l'uso dei loro dati, ha un precedente anche in Italia.
Con il provvedimento PS11112 del 29 novembre 2018 l'Autorità garante della concorrenza e del mercato ha sanzionato Facebook per non aver informato adeguatamente gli utenti, al momento dell'iscrizione, della raccolta e dell'uso commerciale dei loro dati.
Il Consiglio di Stato, con la sentenza n. 2631 del 29 marzo 2021, ha confermato che un servizio presentato come gratuito, ma remunerato attraverso lo sfruttamento commerciale dei dati, rientra nella disciplina delle pratiche commerciali.
È la base del filone che riguarda la monetizzazione dei dati, sul quale, va detto con chiarezza, non esistono ancora precedenti italiani che abbiano liquidato un risarcimento agli utenti.
Un discorso diverso vale per lo scraping del 2018-2019: su quei fatti il Centro Tutela Consumatori Utenti di Bolzano ha promosso un'azione di classe, ammessa dal Tribunale di Milano il 10 aprile 2026, gratuita per chi aderisce e con udienza attesa nel mese di ottobre 2026.
Che cosa serve per chiedere un risarcimento in Italia
La Corte di giustizia dell'Unione europea, con la sentenza del 4 maggio 2023 nella causa C-300/21, ha indicato tre presupposti congiunti: una violazione del Regolamento, un danno effettivo e il nesso causale fra i due.
Non è richiesta una soglia minima di gravità, ma il danno non si presume: la Corte di cassazione, con l'ordinanza n. 16402 del 10 giugno 2021, ha escluso il danno «in re ipsa».
Nella pratica conviene:
- non attendere comunicazioni o rimborsi legati al processo del New Mexico, perché non sono previsti per gli utenti italiani;
- ricostruire da quando si usa Facebook e quali dati sono stati condivisi, anche scaricando la copia delle proprie informazioni;
- conservare ogni elemento che documenti un pregiudizio concreto, come messaggi indesiderati, tentativi di phishing o spese sostenute;
- diffidare di chi promette importi certi o tempi garantiti prima di aver esaminato la posizione.
Se vuoi capire se la tua situazione rientra in uno dei filoni aperti e quali elementi puoi documentare, puoi descriverla nella sezione «Il tuo caso»: la valutazione preliminare serve proprio a distinguere ciò che è sostenibile da ciò che non lo è.
Pensi che i tuoi dati siano stati usati così?
Verifica il tuo caso: compili il modulo, firmi online e al resto pensiamo noi.
Verifica il tuo caso →