Trattamento di dati sensibili Università degli Studi di Milano Polo didattico e di ricerca di Crema Dipartimento di Tecnologie dell’Informazione Corso in trattamento dei dati sensibili Simone Bonavita Seminari specialistici tematici e case history: Avv. Prof. Pierluigi Perri – Avv. Edoardo Artese – Dott. Stefano De Cristofaro – Marta Ghiglioni – Dott. Carlo Bernardi

La normativa Decreto legislativo 9 aprile 2003, n. 70. Direttiva 2000/31/CE relativa a taluni aspetti giuridici dei servizi della società dell'informazione, in particolare il commercio elettronico, nel mercato interno

I presupposti Perseguire l’autore materiale di un illecito in Internet può presentare alcuni problemi. Ad esempio: l’autore materiale potrebbe essere difficilmente individuabile perché anonimo (e non sempre conoscere l’indirizzo IP da cui ha agito e ̀ sufficiente...): in caso di azioni risarcitorie, l’autore materiale dell’illecito potrebbe essere poco o affatto solvibile: gli autori materiali potrebbero essere troppo numerosi (e.g. in caso di violazioni ripetute del diritto d’autore tramite sistemi di file-sharing);

Il provider Provider (o “prestatore”) e ̀ la persona fisica o giuridica che presta un qualsiasi servizio della società dell’informazione, vale a dire qualsiasi servizio prestato normalmente dietro retribuzione, a distanza, per via elettronica e a richiesta individuale di un destinatario di servizi.

La normativa Art. 14 (Responsabilità nell'attività di semplice trasporto - Mere conduit) 1. Nella prestazione di un servizio della società dell'informazione consistente nel trasmettere, su una rete di comunicazione, informazioni fornite da un destinatario del servizio, o nel fornire un accesso alla rete di comunicazione, il prestatore non è responsabile delle informazioni trasmesse a condizione che:  non dia origine alla trasmissione;  non selezioni il destinatario della trasmissione;  non selezioni né modifichi le informazioni trasmesse; 2. Le attività di trasmissione e di fornitura di accesso di cui al comma 1, includono la memorizzazione automatica, intermedia e transitoria delle informazioni trasmesse, a condizione che questa serva solo alla trasmissione sulla rete di comunicazione e che la sua durata non ecceda il tempo ragionevolmente necessario a tale scopo. 3. L'autorità giudiziaria o quella amministrativa avente funzioni di vigilanza può esigere anche in via d'urgenza, che il prestatore, nell'esercizio delle attività di cui al comma 2, impedisca o ponga fine alle violazioni commesse.

La normativa Art. 15 (Responsabilità nell'attività di memorizzazione temporanea - Caching) 1. Nella prestazione di un servizio della società dell'informazione consistente nel trasmettere, su una rete di comunicazione, informazioni fornite da un destinatario del servizio, il prestatore non è responsabile della memorizzazione automatica, intermedia e temporanea di tali informazioni effettuata al solo scopo di rendere più efficace il successivo inoltro ad altri destinatari a loro richiesta, a condizione che:  non modifichi le informazioni;  si conformi alle condizioni di accesso alle informazioni;  si conformi alle norme di aggiornamento delle informazioni, indicate in un modo ampiamente riconosciuto e utilizzato dalle imprese del settore;  non interferisca con l'uso lecito di tecnologia ampiamente riconosciuta e utilizzata nel settore per ottenere dati sull'impiego delle informazioni;  agisca prontamente per rimuovere le informazioni che ha memorizzato, o per disabilitare l'accesso, non appena venga effettivamente a conoscenza del fatto che le informazioni sono state rimosse dal luogo dove si trovavano inizialmente sulla rete o che l'accesso alle informazioni è stato disabilitato oppure che un organo giurisdizionale o un'autorità amministrativa ne ha disposto la rimozione o la disabilitazione. 2. L'autorità giudiziaria o quella amministrativa aventi funzioni di vigilanza può esigere, anche in via d'urgenza, che il prestatore, nell'esercizio delle attività di cui al comma 1, impedisca o ponga fine alle violazioni commesse.

La normativa Art. 16 (Responsabilità nell'attività di memorizzazione di informazioni - Hosting) 1. Nella prestazione di un servizio della società dell'informazione consistente nella memorizzazione di informazioni fornite da un destinatario del servizio, il prestatore non è responsabile delle informazioni memorizzate a richiesta di un destinatario del servizio, a condizione che detto prestatore:  non sia effettivamente a conoscenza del fatto che l'attività o l'informazione è illecita e, per quanto attiene ad azioni risarcitorie, non sia al corrente di fatti o di circostanze che rendono manifesta l'illiceità dell'attività o dell'informazione ;  non appena a conoscenza di tali fatti, su comunicazione delle autorità competenti, agisca immediatamente per rimuovere le informazioni o per disabilitarne l'accesso. 2. Le disposizioni di cui al comma 1 non si applicano se il destinatario del servizio agisce sotto l'autorità o il controllo del prestatore.3. L'autorità giudiziaria o quella amministrativa competente può esigere, anche in via d'urgenza, che il prestatore, nell'esercizio delle attività di cui al comma 1, impedisca o ponga fine alle violazioni commesse.

Il Provider

…Ritorniamo alla normativa Art. 16 (Responsabilità nell'attività di memorizzazione di informazioni - Hosting) (...) non sia effettivamente a conoscenza del fatto che l'attività o l'informazione è illecita e, per quanto attiene ad azioni risarcitorie, non sia al corrente di fatti o di circostanze che rendono manifesta l'illiceità dell'attività o dell'informazione ;

La normativa LA CONOSCENZA «EFFETTIVA» DELL’ILLICEITA ̀  Viacom International Inc. vs. YouTube (U.S. District Court, District Court of New York, 23 giugno 2010): «[a] provider cannot by inspection determine whether the use has been licensed by the owner, or whether its posting is a ‘‘fair use’’ of the material, or even whether its copyright owner or licensee objects to its posting».  Telecinco c. YouTube (Juzgado de lo Mercantil de Madrid, 22 settembre 2010): «una interpretacion estricta y ortodoxa de la normativa exigiria que para que YouTube tuviese “conocimiento efectivo” del caracter ilicito de los contenidos alojados en su sitio web y pudiera ser considerado responsable respecto de los mismos, esa ilicitud deberia haber sido declarada previamente por un organo jurisdiccional». (Contra, tuttavia, Jose Ramon Julio Marquez Martinez (Ramonci ̀ n) c. Xorxe Oural Martinez, Tribunal Supremo, Sala de lo Civil, 10 febbraio 2011)

La normativa LA CONOSCENZA «EFFETTIVA» DELL’ILLICEITA ̀  Precisa cosi ̀ la Corte con la senteza C-324/09, (c.d. “Sentenza L’Oreal) “in questo secondo caso, pur s e, certamente, una notifica non può automaticamente far venire meno il beneficio dell’esonero dalla responsabilità previsto all’art.14 della direttiva 2000/31 – stante il fatto che notifiche relative ad attività o informa-zioni che si asseriscono illecite possono rivelarsi insufficientemente precise e dimostrate – resta pur sempre fatto che essa costituisce, di norma, un elemento di cui il Giudice nazionale deve tener conto per valutare, alla luce delle informazioni cosi ̀ trasmesse al gestore, l’effettività della conoscenza da parte di quest’ultimo di fatti o circostanze in base ai quali un operatore economico diligente avrebbe dovuto constatare l’illiceità”.

Information Location Tool Provider (cenni) La direttiva 31/2000/CE non si occupa di disciplinare la responsabilità dei motori di ricerca per la predisposizione di link a materiali illeciti. Alcuni Paesi hanno previsto specifiche esenzioni (Spagna, Portogallo, Austria, Ungheria). In altri Paesi UE, tra cui l’Italia, la dottrina tende ad applicare una disciplina analoga a quella prevista per l’hosting, valorizzando in particolare il profilo della actual knowledge dell’illecito. La giurisprudenza ha invece un approccio più restrittivo. Alcuni esempi:  Coolstraming (Cass. pen. 4 luglio 2006, n ): la predisposizione di link che consentano agli utenti la installazione guidata del software necessario per la visione di un evento sportivo integra, sotto il profilo concorsuale, in quanto condotta atipica ma causalmente efficace per la lesione del bene tutelato, il reato di illecita immissione, in un sistema di reti telematiche, di un'opera dell'ingegno protetta  TvGratis (Trib. Milano, 7 gennaio 2010): ribadisce il principio espresso nel caso Coolstreaming

Information Location Tool Provider  TV-Links (Crown Court at Gloucester, 6 febbraio 2010): la predisposizione di link non configura un atto di messa a disposizione del pubblico  Rojadirecta (Audiencia Provincial de Madrid, 27 aprile 2010): la predisposizione di link non configura un atto di messa a disposizione del pubblico

La giurisprudenza Google Vs Vividown; RTI Vs Mediaset; RTI Vs Yahoo; RTI Vs IOL; FAPAV c. Telecom Italia [mera conduzione] About Elly / Yahoo; Sky Vs Cooldstreaming;