Per chi usa Facebook in Italia la condanna non cambia nulla direttamente. Il 21 ottobre 2026 il giudice Francis Mathew ha ordinato a Meta di pagare 25 miliardi di dollari allo Stato del New Mexico: è una sanzione pubblica, non un risarcimento agli utenti. In Italia il danno da trattamento illecito dei dati resta da provare caso per caso.
Che cosa ha deciso il giudice
La decisione chiude la fase sulle sanzioni del processo promosso nel 2021 dalla procura generale del New Mexico dopo lo scandalo Cambridge Analytica.
A settembre la giuria di Santa Fe aveva accertato che Facebook aveva ingannato i residenti dello Stato su chi avesse accesso ai loro dati e sulla gestione di odio e disinformazione, contando oltre 43 milioni di violazioni della legge statale sulle pratiche commerciali sleali.
Secondo le cronache di Reuters, CNBC e IAPP, la decisione si articola così:
- il giudice ha applicato a ogni violazione il massimo di 5.000 dollari previsto dalla legge, motivandolo con il carattere volontario e sistematico delle dichiarazioni e con il coinvolgimento dei vertici aziendali;
- il totale teorico, circa 219,5 miliardi di dollari, è stato poi ridotto a 25 miliardi;
- sulla somma maturano interessi del 15% annuo fino al pagamento;
- il giudice ha definito «volutamente inefficace» l'indagine interna che Facebook aveva promesso dopo lo scandalo.
Lo Stato aveva chiesto fra 35 e 40 miliardi, Meta di restare entro 3,45 miliardi. Meta ha dichiarato di essere fiduciosa di vincere in appello, quindi la decisione non è definitiva.
Perché quei soldi non arriveranno agli utenti
La causa è un'azione di enforcement della procura: le sanzioni civili entrano nelle casse del New Mexico e non vengono ripartite fra gli iscritti a Facebook, nemmeno fra quelli residenti in quello Stato.
Per gli utenti italiani mancano poi i presupposti di base: la decisione applica una legge del New Mexico, tutela i residenti di quello Stato e davanti a un giudice italiano vale come fatto di cronaca, non come precedente né come prova di un danno individuale.
Un'avvertenza pratica: notizie di questa portata attirano messaggi che annunciano «rimborsi» o «fondi da 25 miliardi» a cui aderire. Per gli utenti italiani non esiste alcun fondo legato a questa condanna, e chi chiede dati o pagamenti con questo pretesto va trattato come un tentativo di truffa.
Cambridge Analytica ha avuto anche un capitolo italiano
La vicenda non è solo americana. Con un provvedimento del 14 giugno 2019, comunicato il 28 giugno, il Garante per la protezione dei dati personali ha sanzionato Facebook per 1 milione di euro.
Secondo il Garante, 57 italiani avevano scaricato l'applicazione Thisisyourdigitallife e, attraverso il login con Facebook, l'app aveva acquisito i dati di altri 214.077 utenti italiani che non l'avevano scaricata, senza informarli e senza il loro consenso.
Quella sanzione è stata applicata in base al vecchio Codice privacy e, come ogni sanzione amministrativa, è andata all'erario. I fatti sono anteriori al GDPR: un'eventuale pretesa risarcitoria individuale su quegli episodi pone questioni di legge applicabile e di prescrizione da valutare con attenzione, caso per caso.
Le strade aperte oggi in Italia
Il tema di fondo della causa americana, cioè quanto gli utenti sapessero davvero dell'uso dei loro dati, ha un corrispondente italiano nel filone della monetizzazione.
Con il provvedimento PS11112 del 2018 l'AGCM ha sanzionato Facebook per non aver informato adeguatamente gli utenti della raccolta e dell'uso commerciale dei loro dati, e il Consiglio di Stato, con la sentenza n. 2631 del 2021, ha confermato che un servizio gratuito remunerato con i dati rientra nella disciplina delle pratiche commerciali.
Va detto con chiarezza che su questo filone non esistono ancora precedenti italiani che abbiano liquidato un risarcimento agli utenti.
Per lo scraping del 2018-2019 esiste invece l'azione di classe promossa dal Centro Tutela Consumatori Utenti di Bolzano, ammessa dal Tribunale di Milano il 10 aprile 2026: un'iniziativa seria e gratuita per chi aderisce, distinta dalla nostra e limitata a quei fatti.
Che cosa serve per chiedere un risarcimento
L'art. 82 del GDPR riconosce il risarcimento del danno materiale o immateriale causato da una violazione del Regolamento.
La Corte di giustizia, nella causa C-300/21, ha indicato tre presupposti congiunti: la violazione, un danno effettivo e il nesso causale. Non serve una soglia minima di gravità, ma il danno non si presume: la Cassazione, con l'ordinanza n. 16402 del 2021, ha escluso il danno «in re ipsa».
Nessuna sanzione, per quanto elevata, fissa quindi un importo per il singolo utente. In concreto conviene:
- ignorare comunicazioni che promettono quote della condanna americana;
- ricostruire da quando si usa Facebook e quali dati e app collegate sono stati coinvolti, anche scaricando la copia delle proprie informazioni;
- conservare con la data ogni elemento che documenti un pregiudizio concreto, come phishing mirato, accessi anomali o spese sostenute;
- diffidare di chi garantisce importi o tempi prima di aver esaminato la posizione.
Il passo successivo
Se vuoi capire se la tua situazione rientra in uno dei filoni aperti e quali elementi puoi documentare, puoi descriverla nella sezione «Il tuo caso»: la valutazione preliminare serve a distinguere ciò che è sostenibile da ciò che non lo è, senza promesse sugli importi.
Pensi che i tuoi dati siano stati usati così?
Verifica il tuo caso: compili il modulo, firmi online e al resto pensiamo noi.
Verifica il tuo caso →