Ampliare le frontiere del consenso e della privacy dei dati: azioni collettive senza violazione dei dati

Il panorama del consenso sta subendo cambiamenti radicali nel modo in cui tribunali e ricorrenti intendono la privacy. Non più limitata a casi di hacking o fughe di dati, la responsabilità legale deriva sempre più dall'uso routinario dei dati e da meccanismi di consenso inadeguati. Un crescente corpus di recenti sentenze e accordi di class action illustra questa "frontiera" emergente, in cui l'assenza di una violazione dei dati non protegge le aziende dal rischio legale.

Le nuove interpretazioni del California Consumer Privacy Act (CCPA) guidano questi cambiamenti. I tribunali ora consentono azioni collettive mirate alla condivisione routinaria di informazioni personali, anche in assenza di violazioni.

Quali tipi di casi sono coinvolti in queste sentenze? Un esempio è Shah contro Capital One, in cui i ricorrenti hanno affermato che Capital One ha condiviso dati personali con società di analisi e pubblicità terze tramite pixel di tracciamento e tecnologie integrate senza un preavviso o un consenso sufficienti. Il tribunale ha respinto la richiesta di archiviazione di Capital One, riconoscendo plausibili violazioni del CCPA in assenza di tradizionali falle nella sicurezza informatica. Ciò va oltre le precedenti interpretazioni che prevedevano la responsabilità ai sensi del CCPA solo in caso di hacking, fughe di notizie o violazioni.

Oltre a queste considerazioni, sono stati sollevati quesiti in cause giudiziarie che chiedono se i cookie e le conversazioni dei chatbot possano essere considerati "registrazioni" che violano le leggi statali statunitensi sulle intercettazioni telefoniche, che non hanno nulla a che fare con la privacy dei dati ma tutto a che fare con il consenso informato. Quali tipi di meccanismi sono in atto per acquisire il consenso quando certe forme di interazione non sono mai state classificate come potrebbero esserlo ora, ovvero come violazioni delle intercettazioni telefoniche piuttosto che violazioni della privacy dei dati?

Questi cambiamenti aprono una strada più ampia alla responsabilità: le aziende devono ora verificare non solo se i dati sono protetti, ma anche se la loro raccolta, condivisione e utilizzo sono conformi agli standard di notifica, consenso e controllo dei consumatori e se i meccanismi in atto potrebbero potenzialmente essere riclassificati e resi non conformi.

Anche al di fuori delle tecnologie di tracciamento, tribunali e autorità di regolamentazione stanno respingendo altre forme di raccolta di dati non consensuale:

In un caso del 2024 in Illinois, Charlotte Tilbury Beauty è stata accusata di aver raccolto scansioni della geometria facciale tramite strumenti di prova virtuale senza il consenso degli utenti. L'azienda ha accettato un accordo di 2,93 milioni di dollari ai sensi del Biometric Information Privacy Act (BIPA), riconoscendo a ciascun ricorrente una somma compresa tra 700 e 1.100 dollari senza dover fornire prove del danno.

Ciò sottolinea come la raccolta di dati biometrici, in particolare senza un'adeguata notifica o un'opt-out, costituisca un limite di responsabilità per violazione della privacy.

I casi di non violazione stanno proliferando anche altrove. Un accordo transattivo di un'azione collettiva contro GameStop ha denunciato una violazione del Video Privacy Protection Act (VPPA), basata sulla condivisione di dati video identificabili degli utenti con Facebook tramite pixel di tracciamento, ancora una volta senza consenso. Gli utenti idonei potevano richiedere piccoli buoni in dollari.

Questo caso riecheggia lo schema dei contenziosi derivanti da pratiche di condivisione o sorveglianza, non dal furto di dati.

Le azioni collettive sulla privacy si estendono anche all'ambito delle comunicazioni con i consumatori. Un accordo transattivo da 5,95 milioni di dollari che ha coinvolto Albertsons, Star Markets e Safeway ha affrontato presunte violazioni del Telephone Consumer Protection Act (TCPA), in particolare messaggi di testo e chiamate indesiderate inviate nonostante le richieste di opt-out.

Ciò ha costituito una responsabilità senza violazione, se non per intrusione nella privacy tramite comunicazioni piuttosto che per esposizione di dati.

Questa diversificazione del contenzioso sulla privacy si sta verificando nel contesto di un'esplosione generale di casi negli Stati Uniti. Una serie di marzo 2025 sui contenziosi sulla privacy dei dati negli Stati Uniti rileva quasi 2.000 cause intentate presso i tribunali federali solo nel 2024, che spaziano da violazioni, tracciamento, broker di dati, dati biometrici, contratti e altro ancora.

Questo portafoglio in espansione di teorie giuridiche riflette l'evoluzione della comprensione da parte della società dei danni alla privacy.

Diversi fattori convergono per alimentare questa frontiera di applicazione. Tra questi, un'attenzione normativa più ampia alla trasparenza, al consenso e al controllo dei consumatori – non solo alla sicurezza dei dati, all'ambiguità tecnologica, alle basse barriere per avviare azioni legali e alla gestione del rischio aziendale.

Con queste problematiche in gioco, le aziende devono iniziare a riflettere sul significato del consenso in un panorama in continua evoluzione e frammentato. Come possono proteggersi?

La prima linea di difesa è una piattaforma di gestione del consenso, ma è un approccio olistico all'ecosistema che sarà necessario con l'evoluzione della legge sul consenso.