Lunedì 17. dicembre si è tenuto a Milano lo Startup Italia Open Summit 2018, il più importante evento relativo all’ecosistema startup in Italia. Come Thomas Rechtsanwälte - The Startup Lawyers siamo stati coinvolti nell’offerta di una masterclass sul tema dell’internazionalizzazione delle attività di e-commerce, nonché come membri della giuria che ha eletto EryDel startup dell’anno 2018.
Qui potete visionare e scaricare le slides della nostra presentazione.
Uno strumento di marketing virale estremamente efficace e per giunta gratuito che molti gestori di online shop amano integrare nel proprio negozio è il plugin di Facebook "mi piace", attraverso il quale un utente può esprimere tale giudizio condividendolo con tutti i propri contatti su Facebook.
Una recentissima pronuncia del tribunale di Düsseldorf (09. marzo 2016, r.g. 12 O 151/15) ha esaminato nel dettaglio il funzionamento del suddetto plugin, giungendo alla conclusione che esso si presta ad essere utilizzato in maniera tale da violare la normativa sulla protezione dei dati personali.
Il problema nasce dal fatto che quando il plugin in questione è integrato in un sito terzo di norma, già all'atto di accedere alla pagina in cui è integrato, esso acquisisce automaticamente dati personali, in particolare l'indirizzo IP dell'utente e l'informazione relativa al sito visitato (cioè quello in cui il plugin è ospitato). Tale acquisizione avviene direttamente da parte di Facebook, senza coinvolgimento del gestore del sito "ospitante". E' vero che l'indirizzo IP di norma è dinamico, sicché non è possibile risalire all'utente persona fisica in maniera diretta (indirittamente peraltro invece sì). Tuttavia Facebook in tal modo acquisisce dati relativi ad un proprio utente che è in grado di identificare direttamente dal momento che per esprimere il "like" bisogna effettuare (o aver già effettuato) il login.
Il suddetto funzionamento tecnico permette a Facebook di acquisire dati personali anche di utenti che non siano registrati sul loro account nel momento in cui visitano il sito ospitante, o addirittura che non abbiano alcun account su Facebook. Infatti quando l'utente carica la pagina terza che ospita il plugin di Facebook, quest'ultimo salva un cookie permantente sul terminale dell'utente, sicché se questi in seguito effettua il login al proprio account oppure apre un nuovo account, Facebook è sempre in grado di mettere in collegamento i due dati e trarne conclusioni in merito, ad esempio, alle preferenze dell'utente.
Ai sensi del novellato art. 3a della legge tedesca sulla concorrenza sleale (UWG), commette un atto di concorrenza sleale chiunque agisca in violazione di una norma preposta alla tutela dei consumatori, degli altri soggetti attivi sul mercato o del corretto funzionamento del mercato stesso. Legittimati ad agire sono, oltre alle associazioni di categoria, anche i concorrenti stessi, i quali dispongono in tal modo di un'ottima arma per mettere in difficoltà la concorrenza. Inoltre, a partire da ottobre 2016, anche per le violazioni della normativa sulla protezione dei dati personali saranno legittimate ad agire le associazioni di categoria (in particolare le associazioni dei consumatori). A tali rimedi "civilistici" si aggiungono poi tutti i poteri sanzionatori amministrativi e penali delle rispettive autorità competenti.
Come ovviare al problema? La soluzione suggerita obiter dal tribunale di Düsseldorf è di applicare una soluzione a "doppio click". All'atto di accedere alla pagina che ospita il plugin, lo stesso non dovrebbe essere ancora attivo. Con un primo click sull'area del plugin l'utente dovrebbe ricevere informazioni dettagliate sul funzionamento dello stesso e sui dati personali acquisiti e trasmessi. Solo se a questo punto l'utente procedesse a un secondo click il plugin verrebbe attivato.
Per esaminare un'applicazione pratica della suddetta soluzione si può far riferimento all'online store della catena tedesca "Peek & Cloppenburg". Nell'angolo inferiore destro della pagina iniziale si trova un riquadro intitolato "Gefällt mir" (mi piace). Solo cliccando su "Social media aktivieren" l'utente esprime il consenso all'attivazione del plugin di Facebook.
Resta comunque da sottolineare che tale soluzione, attualmente generalmente accettata tra gli altri anche dall'autorità per la protezione dei dati personali della Baviera resta tutt'altro che certa. Il nodo fondamentale risiede nella necessità di un consenso informato. Quando l'utente accede ad un sito in cui è integrato il plugin di Facebook con la soluzione a doppio click ha sì la possibilità di (non) esprimere il proprio consenso, ma sulla base di informazioni necessariamente vaghe ed insoddisfacenti dal momento che nessuno è in grado di indicare con precisione quale utilizzo venga fatto dei suoi dati da parte di Facebook. Se, come nel caso oggetto della decisione del tribunale di Düsseldorf, il sito ospitante non è in alcun modo coinvolto nella trasmissione di dati dall'utente a Facebook, l'unica soluzione ipotizzabile dovrebbe essere quella di informare l'utente in maniera chiarissima ed evidente circa la completa estraneità e terzietà del plugin di Facebook rispetto alla pagina ospitante, in modo da poter rinviare l'utente alla dichiarazione sul trattamento dei dati personali di Facebook stesso. Tuttavia ciò richiederebbe un'interpretazione estremamente restrittiva delle definizioni di "acquisizione di dati" e di "responsabile" accolte all'art. 3 c. 3 e 7 della legge federale sulla protezione dei dati (Bundesdatenschutzgesetz) - il che non è probabile, data l'attuale tendenza della giurisprudenza ad una estrema responsabilizzazione in tema di trattamento di dati personali.
Insomma, l'unica soluzione attualmente sicura è non usare del tutto il plugin.
Dall'entrata in vigore delle singole misure nazionali di attuazione (art. 52 Codice del Consumo; §312g BGB) della direttiva 2011/83/UE (cd. direttiva sulla tutela dei consumatori) sappiamo che nell'ambito del commercio a distanza, ovvero nell'e-commerce, il consumatore ha sempre diritto a recedere dal contratto concluso entro un termine di 14 gg. senza necessità di indicare motivazioni. La direttiva ha uniformato proprio il termine, innalzandolo in tutta Europa a 14 gg. Naturalmente chi offre beni o servizi online è libero di concedere termini di recesso più ampi, come infatti fanno molti dei principali players.
Tale diritto di recesso è escluso in una serie di casi, tra i quali quello forse più ricorrente è quello relativo a beni confezionati su misura o chiaramente personalizzati (art. 59 Codice del Consumo, §312g c. 2 n. 1 BGB). La ratio della norma è chiara: se il venditore deve confezionare un prodotto (un capo d'abbigliamento, per esempio) secondo le misure o i desideri del consumatore, questi poi non può restituirlo “senza motivo”, poiché il venditore non ha possibilità di venderlo ad altri. Diversamente quest'ultimo dovrebbe sopportore un rischio imprenditoriale sproporzionato ed eccessivo a fronte della tutela del consumatore.
Proprio tale ratio ha permesso tuttavia alla Pretura (Amtsgericht) di Dortmund di ritenere che un divano modulare composto da singoli elementi scelti dal consumatore in una gamma di 578 combinazioni non è di per sé sottratto dal campo d'applicazione della disciplina generale sul recesso, quando esso sia, in caso di reso, facilmente scomponibile e dunque i singoli pezzi riutilizzabili per altri ordini (v. AG Dortmund 28.04.2015, AZ. C 1013/15). Tale pronuncia si pone peraltro in insanabile contrasto con la precedente sentenza del Tribunale di Düsseldorf che, sempre nel caso di un divano componibile a piacere dall'acquirente, aveva escluso l'applicabilità del diritto di recesso entro 14 gg. (LG Düsseldorf 12.02.2014, AZ. 23 S 111/13).
Se è vero che una rondine non fa primavera è altrettanto vero che una sentenza pretorile non è sufficiente a indicare un orientamento generale. Chi però vende i propri beni online e permette al cliente di acquistarli in versioni personalizzate mediante combinazione di singoli elementi preconfezionati e separabili dovrebbe adottare qualche cautela – tenendo presente che il diritto di recesso è comunque sempre inderogabile.
Condizioni generali di contratto (CGC), general terms, allgemeine Geschäftsbedingungen (AGB), dietro queste espressioni si nasconde una delle problematiche centrali dell'attività commerciale: come regolare i rapporti con i clienti in maniera uniforme? Il problema si pone principalmente nei confronti dei consumatori (B2C), perché nei confronti delle imprese è più frequente ricorrere a contratti individuali. Chi invece vende beni o servizi di consumo deve necessariamente fissare una disciplina contrattuale generale, valida nei confronti di tutti i clienti, senza poter negoziare le singole condizioni singolarmente con ognuno di essi.
La legge pone dei limiti ben definiti alla possibilità di stipulare contratti per adesione, ovvero contratti predisposti interamente da una parte (l'imprenditore o il professionista), a fronte dei quali la controparte (il consumatore) può solo "prendere o lasciare". In Italia la materia è regolata ad esempio dagli artt. 1341 e 1342, in Germania dagli artt. 305 ss. BGB.
In più, nei rapporti con i consumatori la normativa europea (da ultimo la direttiva 2011/83) e nazionale prevede una serie di disposizioni inderogabili a tutela del contraente debole (il consumatore), che limitano ulteriormente la già ridotta libertà contrattuale del predisponente.
Ad esempio, una disposizione a tutela del consumatore prevede che la legge applicabile al contratto sia necessariamente sempre quella del luogo in cui è domiciliato il consumatore stesso, a prescindere dalla sede dell'impresa o da una pattuizione difforme. Per questo motivo non è infrequente che nelle CGC si rinvengano clausole che prevedono la "esclusiva applicabilità" della legge tedesca o italiana a seconda dei casi. Cosa succede però nell'ambito dell'e-commerce? Se io offro i miei beni e servizi in Germania attraverso un sito tedesco, e non indico limitazioni geografiche alla fornitura dei beni o servizi, come posso essere certo che il contratto non venga concluso da un consumatore sì germanofono, ma residente in uno stato diverso dalla Germania?
Ecco che sul punto è intervenuta recentemente la Corte d'Appello di Oldenburg (OLG Oldenburg), sottolineando che una clausola che rende applicabile esclusivamente "la legge tedesca" è inefficace se contenuta in CGC relative all'offerta di un bene o servizio che può essere acquistato anche al di fuori della Germania.
In via immediata, se la clausola di scelta della legge si rivela inefficace sarà applicabile la legge nazionale del luogo in cui è residente il consumatore. Tuttavia non è il solo rischio: infatti la stessa Corte ha ritenuto che un soggetto giuridico che persegua obiettivi di tutela di interessi diffusi nel campo del consumo e del mercato (ad esempio associazioni dei consumatori, autorità indipendenti etc.) sia titolare di legittimazione attiva ad ottenere giudiziariamente la cessazione del comportamento illecito (ovvero l'eliminazione della clausola suddetta) anche quando riguardi un consumatore residente in un altro paese dell'Unione.
Quindi oltre al pericolo che si riveli applicabile una legge diversa da quella voluta si profila anche il rischio di un'azione giudiziaria con i relativi costi.
Nella prassi l'unica soluzione percorribile è quella di non inserire alcuna clausola sulla legge applicabile, dal momento che la disciplina legale sul punto è comunque inderogabile. Se, peraltro, si vuole ugualmente stipulare qualcosa in merito (ad esempio perché le CGC sono rivolte in parte anche al B2B, dove le convenzioni sulla legge applicabile sono ammesse), bisognerà necessariamente specificare che, nel rapporto con i consumatori, è sempre applicabile la legge del luogo in cui sono domiciliati nel momento in cui concludono il contratto.
