, , , ,

Cronache di una difesa tecnica disperata davanti al Garante della Privacy

Di Giacomo Conti

Il telefono squilla sempre quando stai per versarti il caffè. Dall’altro capo del filo c’è la voce di un imprenditore che ha smesso di respirare a pieni polmoni da circa dieci minuti, ossia da quando sulla scrivania gli è atterrata una notifica dell’Autorità Garante per la protezione dei dati personali.

Non è una richiesta di chiarimenti di quelle di routine. È l’inizio di un incendio.

Nel nostro mestiere, i casi “disperati” arrivano sempre con lo stesso copione. L’azienda in questione progetta e vende architetture software complesse; una realtà solida, con decine di dipendenti. Eppure, per accelerare le vendite, qualcuno nel reparto marketing ha pensato di fare il passo più lungo della gamba: uno scraping massivo, quasi rabbioso, di indirizzi email dal web, seguito da campagne di cold mailing a tappeto, senza l’ombra di un consenso.

La pezza, come spesso accade, era stata peggio del buco. Quando alcuni destinatari avevano subdorato l’illecito e chiesto formalmente conto di come lo studio avesse i loro dati esercitando il sacrosanto diritto di accesso ex Art. 15 del GDPR, l’azienda, presa dal panico, ha fatto la mossa peggiore e invece di rispondere, ha cancellato i dati dal database pensando di far sparire le prove della violazione.

Il prezzo del panico

Il Garante è partito dal massimo edittale e ha calcolato la sanzione partendo dal massimo edittale di 20 milioni di euro (o il 4% del fatturato globale), l’azienda rischiava inoltre il blocco totale e immediato di ogni attività di lead generation. In pratica, la morte commerciale per un’azienda che vive di contratti B2B.

A rendere la difesa un suicidio annunciato c’era un dettaglio non trascurabile, in quanto prima di bussare alla porta dello Studio, l’imprenditore aveva già provato a difendersi da solo. Il Cliente aveva inviato al Garante memorie scritte di suo pugno piene di arrampicate sugli specchi, invocando un improbabile “legittimo interesse” e giurando che quelle email “non erano commerciali” (nonostante contenessero offerte di software con tanto di listino prezzi). Un autogol che aveva indispettito gli uffici dell’Autorità, blindando l’accusa.

La svolta: l’Ingegneria Giuridica applicata sul campo

Quando entri in partita su una posizione così compromessa, difenderti negando l’evidenza equivale a scavarsi la fossa da soli. Davanti alle Autorità di controllo, l’arroganza o la bugia grossolana si pagano a caro prezzo.

La strada che abbiamo imbottito in studio è quella che definiamo Ingegneria Giuridica, ossia accettare la realtà dei fatti, disarmare l’interlocutore con una trasparenza quasi spiazzante e scendere nel dettaglio dei processi per capire dove si è rotto il meccanismo. Come nel poker giocarsi una mano non ottimale senza bluffare inutilmente.

Siamo andati a smontare la tesi indifendibile del legittimo interesse e abbiamo iniziato a studiare i software. Abbiamo analizzato come l’azienda utilizzasse effettivamente i tool di estrazione, in particolare LinkedIn Sales Navigator e Snov.io.

E lì abbiamo trovato la chiave. Abbiamo dimostrato al Garante che non c’era un disegno criminoso o una volontà dolosa di saccheggiare il web, ma un errore scusabile: i flussi interni e le interfacce di quegli stessi software erano strutturati in modo tale da indurre un utente medio, non un ingegnere informatico, a ritenere che quel tipo di contatto fosse legittimo e integrato nella piattaforma. Abbiamo spostato l’asse della colpa da una “negligenza grave” a un “errore in buona fede indotto dalle policy di terzi, ossia snov.io e Linkedin”.

Ma le parole in una memoria difensiva non bastano se non sono seguite dai fatti.

Mentre l’istruttoria era ancora in corso, abbiamo preso in mano il caso e lo abbiamo gestito al meglio. Abbiamo imposto lo stop immediato ai vecchi sistemi di scraping, riscritto da zero le Procedure Operative Standard (SOP) per l’acquisizione dei contatti e istituito un team privacy interno con potere di veto sulle campagne marketing.

Quando siamo tornati davanti al Garante per l’audizione, non abbiamo portato scuse o promesse future. Abbiamo mostrato una struttura già profondamente cambiata. Abbiamo mostrato che il problema era stato risolto prima ancora che l’Autorità dovesse ordinarcelo.

L’atterraggio morbido: da 20Milioni a Mille Euro di sanzione complessiva (Provvedimento n. 285/2026)

Qualche mese dopo, il provvedimento è arrivato in studio.

L’Autorità ha recepito l’intera ricostruzione tecnica, dando atto del ravvedimento operoso e della collaborazione trasparente del cliente con l’Autorità Garante.

Il verdetto finale ha quasi dell’incredibile rispetto alle premesse:

Per lo scraping e l’invio delle email senza consenso. Ossia la ola ammonizione formale che vuole dire 0 € di sanzione pecuniaria.

Per l’errore sulla gestione delle richieste degli utenti (l’Art. 15) è stata comminata la sola sanzione minima di 1.000 euro.

Aver ridotto l’esposizione allo 0,005% del rischio iniziale significa aver salvato un’azienda dal fallimento e protetto decine di posti di lavoro.

Una lezione per il futuro: la trappola del “poi facciamo ricorso”

Molti imprenditori coltivano l’illusione che, se le cose vanno male con il Garante, si possa sempre “fare causa” in Tribunale. È una scommessa pericolosissima.

Impugnare un provvedimento sanzionatorio del Garante significa entrare in un rito civile (quello del lavoro) caratterizzato da una rigidità spietata: hai solo 30 giorni di tempo per depositare il ricorso a pena di decadenza, l’impugnazione non sospende quasi mai il pagamento della sanzione e, soprattutto, non esiste un secondo grado di giudizio nel merito. Se perdi in primo grado davanti al Tribunale civile, la sentenza è definitiva; ti resta solo la via strettissima della Cassazione per vizi di pura forma.

In questa materia la partita si gioca e si vince anche durante l’istruttoria amministrativa nel contraddittorio con l’Autorità, anche mettendo mano all’architettura dei tuoi processi quotidiani ed ammettendo gli errori passati senza nascondersi dietro un filo d’erba.

Se fai lead generation, non aspettare arrivi una notifica di sanzione dal Garante, ma intervieni per difenderti a modo nelle dovute sedi. Perché, da quanto la sanzione è stata comminata, il tempo diventerà istantaneamente il tuo peggior nemico e la difesa tecnica in Tribunale è tutta in salita.

La tua azienda fa lead generation e vuoi evitare che un controllo si trasformi in un caso disperato?

Leggi cosa puoi e cosa non puoi fare e come difenderti

[Scarica il provvedimento del Garante: Provvedimento 285.26 1778249672146]

[Scarica il nostro vademecum operativo: Difesa Garante]

/da
, , , , , ,

Quando la legge diventa codice: come tradurre il GDPR in specifiche tecniche per programmatori (SOP)

di Giacomo Conti

Il mercato della consulenza legale in ambito GDPR soffre di un equivoco sistemico e presenta la compliance come un adempimento meramente documentale e burocratico. Pertanto, molti consulenti vendono l’illusione che la compliance sia un problema puramente documentale e seguono un approccio “carta e via”. I documenti, necessari e indispensabili per carità, devono rispecchiare la realtà aziendale.

Molti operatori e business, ugualmente, sono ancora convinti che per mettere a norma una piattaforma digitale complessa, un e-commerce o un sistema basato su Intelligenza Artificiale (IA), sia sufficiente redigere una Privacy Policy formalmente ineccepibile, infarcita di legalese e clausole di stile o la nomina formale di un DPO che dovrebbe essere un parafulmine.

La realtà operativa, specialmente nei modelli di business digitali, è, o almeno dovrebbe essere, radicalmente diversa. Un DPO (Data Protection Officer) o un consulente legale che non conosca la differenza tecnica tra un cookie di sessione e uno di tracciamento, o che non sappia come un indirizzo IP impatta sui flussi di un CRM, non sta proteggendo l’azienda, ma sta solo producendo carta inutile, esponendo il business a rischi sanzionatori massivi da parte del Garante della Privacy oltre che a rischi reputazionali non trascurabili.

La compliance non si costruisce con le parole. Si costruisce progettando un’architettura legale che sappia tradursi, senza ambiguità, nel linguaggio del software. Se non parliamo la stessa lingua di chi deve applicare i principi, il concetto stesso di Privacy by Design e by Default (Art. 25 GDPR) perde qualsiasi efficacia.

In questo articolo analizziamo come i pilastri del regolamento europeo devono essere tradotti in specifiche tecniche per i programmatori attraverso lo strumento della SOP (Standard Operating Procedure).

  1. Data Minimization (Art. 5, lett. c GDPR): la blindatura dei flussi d’origine nei database

Il principio di minimizzazione dei dati impone che i dati trattati siano ridotti allo stretto necessario rispetto alle finalità del trattamento. Tradotto in logica di sviluppo software e gestione del codice, questo principio non si applica ex-post, ma direttamente sul tracciamento della pagina. Non basta scriverlo sulla carta.

Limitazione del perimetro di cattura: In un contesto online, è opportuno che il codice di tracciamento frontend venga configurato per catturare di default esclusivamente dati tecnici strutturalmente anonimi (es. tipologia di browser, ID di sessione generato casualmente). Vi è il divieto assoluto di catturare o far transitare stringhe contenenti dati identificativi (come email o dati di pagamento) all’interno di questi flussi informativi necessari al funzionamento del sito.

Mascheramento e crittografia degli indirizzi IP: L’indirizzo IP, pur essendo un dato identificativo indiretto, non deve mai fare ingresso in chiaro all’interno dei database interni o nel CRM aziendale. Salvo che non ricorra una diversa esigenza, è opportuno che gli IP siano blindati all’origine tramite algoritmi di mascheramento e crittografia prima di qualunque operazione di salvataggio; salvando, ad esempio, solo porzioni dell’indirizzo come stringhe anonime.

  1. Privacy by Default (Art. 25, par. 2 GDPR): il congelamento degli script e di Google Analytics 4

La protezione per impostazione predefinita (Privacy by Default) esige che, di base, la piattaforma non tratti dati personali a meno che l’utente non compia un’azione positiva e consapevole.

Nello sviluppo web, questo principio si traduce in un blocco fisico del codice al caricamento della pagina (page load). Sistemi di tracciamento avanzati, come Google Analytics 4 (GA4) o i pixel dei social network, devono rimanere in uno stato “congelato”. Non deve partire alcuna chiamata asincrona verso i server di terze parti finché l’utente non ha espresso un consenso granulare e positivo tramite l’interazione con il banner dei cookie. Si possono trovare online numerose soluzioni anche gratis che permettono questa gestione granulare dei consensi senza che il consenso sia preimpostato di default.

  1. Storage Limitation (Art. 5, lett. e GDPR): la data retention automatizzata nei log di sicurezza

La limitazione della conservazione non può essere una semplice dichiarazione d’intenti scritta nell’informativa privacy; ma deve essere una funzione nativa dell’infrastruttura IT. In ambienti online è opportuno pensare una data retention policy automatizzata by design.

All’interno della SOP tecnica per i programmatori, questo precetto si traduce nell’impostazione di script di pulizia automatica dei log di sicurezza. Se l’esigenza tecnica di memorizzare l’indirizzo IP in chiaro è legata alla difesa da attacchi informatici (es. mitigazione di attacchi DDoS), il sistema deve essere programmato per cancellare o anonimizzare quel dato non appena si esaurisce la finestra temporale strettamente necessaria alla sicurezza di rete, senza stoccaggi storici indefiniti.

  1. Gestione del Consenso e UI/UX Architecture: stop ai Dark Pattern

Il consenso del GDPR deve essere libero, specifico e informato. Dal punto di vista dello sviluppo dell’interfaccia utente (UI/UX), l’ingegneria giuridica impone l’eliminazione di qualsiasi dark pattern come trucchetti grafici, scritte ingannevoli o caselle pre-spuntate. Questi comportamenti possono portare a gravi sanzioni per il titolare di trattamento.

Un esempio pratico riguarda la condivisione di contenuti o il login tramite piattaforme terze (es. Instagram o Facebook). L’interfaccia deve presentare caselle di controllo (checkbox) strutturalmente vuote. Il backend del software deve essere programmato secondo una logica condizionale rigida: se il programma non riceve il valore positivo (consensuale) per tutti i campi richiesti, il codice blocca fisicamente l’invio dei pacchetti dati verso le API dei social network. Niente tracciamento occulto, nessuna condivisione preventiva.

Il valore aziendale di una SOP Legale-Tecnica per il Business Digitale

Il vero vantaggio per un’azienda che gestisce piattaforme web, e-commerce o sistemi di intelligenza artificiale non è semplicemente il riparo dalle sanzioni economiche del Garante. Il valore reale risiede nella stabilità del business e nella tutela dell’asset aziendale.

Il team di sviluppo tecnico può variare nel tempo, la piattaforma può subire aggiornamenti core o migrazioni strutturali di database, ma i paletti legali restano codificati e replicabili all’interno della SOP. Chi gestisce un business digitale deve rendersi conto che i programmatori non vogliono lezioni teoriche sul GDPR; necessitano di specifiche d’architettura chiare, espresse nella loro stessa lingua. Solo quando la legge si fonde con il codice, la compliance diventa un reale vantaggio competitivo.

 

/da
, , , , , ,

Il contenzioso contro il Garante Privacy in Tribunale: perché avere ragione non basta.

di Giacomo Conti

Le trappole procedurali che rendono definitiva anche la sanzione più ingiusta.

Ricevere un provvedimento sanzionatorio dal Garante Privacy non è solo un duro colpo al portafoglio, alla reputazione o ai processi con cui i dati sono trattati in azienda; ma è l’inizio di una sfida dove la verità dei fatti conta meno della precisione dei passi.

Il sistema di tutela previsto dal nostro ordinamento contro le sanzioni del Garante Privacy è ciò che definisco un “Mostro Ibrido” perché la materia è sostanzialmente amministrativa, il rito che la governa è civile, e la materia che applica il Garante è la protezione del dato personale che ha caratteristiche sue proprie che sono difficili da governare già fuori dal Tribunale e ancora di più in sede giudiziale. Inoltre e come se non bastasse, questo mostro ibrido presenta termini da “ghigliottina” tipici del rito super accelerato dei contratti pubblici.

In questo scenario, l’insidia procedurale può minare anche il ricorso più solido a prescindere dalle fondatezze della pretesa nel merito. Non basta, quindi, padroneggiare il GDPR; ma occorre muoversi tra le norme del GDPR, del Codice Privacy, del rito del lavoro e del Codice del Processo Amministrativo con una precisione chirurgica.

La materia si pone come un vero e proprio campo minato il minimo errore comporta la perdita definitiva del diritto a difendersi, come sanno bene gli amministrativisti.

La scelta del giusto terreno di battaglia: TAR o Tribunale Ordinario

Il primo ostacolo è sostanziale. L’istinto e il buonsenso, vorrebbero che il Giudice naturale fosse quello Amministrativo (TAR), così come per l’impugnazione delle sanzioni delle altre Autorità Indipendenti. Tuttavia, ignorare il disposto dell’Art. 152 del Codice Privacy è il primo errore fatale. La norma stabilisce, infatti, che la giurisdizione appartiene esclusivamente all’Autorità Giudiziaria Ordinaria. Sbagliare “portone” non è solo una svista accademica, ma significa vedersi dichiarare inammissibile la propria azion, per quanto fondata nel merito. Inoltre, bisogna fare attenzione alla competenza territoriale, in quanto la battaglia non si combatte necessariamente a Roma, ma davanti al Tribunale civile del luogo in cui il Titolare ha la propria sede.

La danza pericolosa del Rito del Lavoro sotto il fuoco dell’avvocatura dello Stato

Entrati nel processo, ci si scontra con il meccanismo più insidioso, ossia l’applicazione del rito del lavoro prevista dall’Art. 10 del D.Lgs. 150/2011. A differenza di quanto accade davanti al TAR, il ricorso va prima depositato in Tribunale e solo in un secondo momento notificato al Garante insieme al decreto di fissazione dell’udienza. Invertire questi passaggi o seguire le regole del civile ordinario può rivelarsi un altro errore fatale.

Il rito del lavoro non perdona e non ammette integrazioni tardive e richiede una strategia perfetta sin dal primo atto. Ma l’aspetto più brutale resta il termine ghigliottina per depositare il ricorso. Il Titolare, infatti, ha solo 30 giorni dalla comunicazione del provvedimento per depositare il ricorso in cancelleria. Se ne passano 31, la sanzione diventa definitiva, inoppugnabile e “tombale”, indipendentemente da quanto fosse ingiusta nel merito.

Inoltre, davanti al Giudice, il Garante non è solo, ma è difeso dall’Avvocatura dello Stato e solo più raramente da Avvocati del libero Foro, comunque, molto preparati. Per esperienza professionale diretta, posso dirvi che l’Avvocatura è un avversario temibile, che conosce alla perfezione ogni piega di queste dinamiche processuali e anche la materia sostanziale.

Una pallottola spuntata: inappellabilità della decisione di primo grado ed esecutività del provvedimento del Garante

Molti confidano erroneamente nel fatto che l’impugnazione sospenda il pagamento o l’ordine di blocco dei dati. È un’illusione pericolosa. Il provvedimento del Garante è immediatamente esecutivo. Per fermarlo occorre un’istanza cautelare capace di dimostrare un grave pregiudizio economico o operativo per l’impresa.

Ma la vera trappola finale è l’assenza di un paracadute, in quanto la sentenza di primo grado non è appellabile. Non esiste, infatti, un secondo giudizio di merito e, contro la decisione del Tribunale, resta solo la via stretta della Cassazione per soli motivi di legittimità. Questo trasforma il ricorso di primo grado nell’Unica freccia nel nostro arco per sgominare il mostro. Se il ricorso non è ineccepibile, nella forma e nella sostanza, la partita si chiude lì.

La Difesa Tecnica come Operazione Speciale

Impugnare una sanzione del Garante non è un esercizio teorico, ma è un’operazione speciale di estrazione dove il tempo, il terreno e l’avversario giocano contro il ricorrente. Per uscirne indenni, occorre conoscere la posizione delle mine, ossia i termini perentori e le preclusioni processuali per non farle detonare. Bisogna, altresì, sapersi muovere per schivare i proiettili procedurali dell’Avvocatura in un rito con tempi serrati e preclusioni sostanziali. Sbagliare il tempo o il passo significa veder trasformare la sanzione nella propria tomba legale, senza alcuna possibilità di rimedio in un secondo grado.

Se la vostra azienda riceve una notifica, ricordate che il cronometro parte istantaneamente. Non aspettate il 20° giorno per decidere. In questo rito, il tempo è il vostro primo nemico.

 

Scarica qui il vademecum per difenderti dalle sanzioni del Garante in giudizio: Contenzioso Privacy

/da
, , , , , , ,

L’Odissea dell’Offboarding del lavoratore. Come proteggere l’IP aziendale dal Canto delle Sirene della Conciliazione Sindacale

Il diritto del lavoro ha un altissimo tasso di conciliazione in sede sindacale e, infatti, il verbale di lavoro è vista come la soluzione auspicabile sia per il lavoratore che per il datore di lavoro.

In questi contesti, la sottoscrizione di un verbale di conciliazione in sede protetta viene spesso percepita come il “Canto delle Sirene” di Odisseo, un’attrazione irresistibile che promette una soluzione rapida e tombale a conflitti.

 

Tuttavia, questo processo apparentemente semplice, dietro la maschera suadente nasconde delle insidie e trappole nascoste che possono nascere

Tuttavia, per l’impresa moderna, specialmente se operante in settori ad alto tasso tecnologico o in campi strategici dove la protezione del know how o dell’IP aziendale è una risorsa strategica, il vero rischio non risiede nella lite giudiziaria in sé, quanto nel naufragio post-transattivo causato da un’architettura giuridica debole.

Quando il verbale non è integrato in un sistema rigoroso di Accountability e di SOP (Standard Operating Procedures), la pace firmata davanti al sindacato rischia di rivelarsi un guscio vuoto, privo di reale efficacia protettiva per gli asset aziendali.

Affinché la conciliazione si trasformi in una reale “Itaca” della tranquillità gestionale, l’Ingegneria Giuridica impone di superare la logica della semplice modulistica e compilazione del verbale a stampone, ma deve adottare accorgimenti tattici e strategici, all’apparenza impercettibili, ma la cui portata si riverbera nella blindatura dell’operazione.

L’albero maestro di questa navigazione sicura è la Natura Novativa dell’obbligazione ai sensi dell’articolo 1965 del Codice Civile.

L’accordo non deve limitarsi a regolare il passato, ma deve estinguerlo per sostituirlo con un titolo nuovo e inattaccabile. Questa scelta strutturale funge da albero maestro a cui legarsi per impedire che vecchie pretese contrattuali riemergano, rendendo il verbale l’unica e definitiva fonte di obbligo tra le parti.

Parallelamente, la cosiddetta “tombalità” delle pretese deve essere interpretata attraverso il filtro del rigore ingegneristico. Una rinuncia generica a “non aver nulla a pretendere” è oggi un pericoloso paravento formale e, anzi, rischia di ritorcersi contro l’azienda che potrebbe non gestire adeguatamente il rischio di offboarding della risorsa aziendale.

La protezione legale avanzata richiede invece una mappatura analitica di ogni singola voce, dalle differenze retributive ai potenziali danni da demansionamento, neutralizzando il rischio di impugnazione che, in un accordo generico, rimane latente.

Questo approccio si estende necessariamente alla conformità fiscale e previdenziale, dove la distinzione tra Incentivo all’esodo (esente da contributi e sottoposto a tassazione separata) e competenze maturate deve essere netta, per evitare che l’azienda finisca nel vortice di accertamenti INPS o dell’Agenzia delle Entrate.

Tuttavia, il vero salto di qualità nell’Offboarding aziendale moderno riguarda, molto spesso, anche la gestione della devoluzione digitale.

In un contesto dove la conoscenza, contenuta in credenziali di accesso e device aziendali, è il bene più prezioso, la cessazione del rapporto di lavoro si trasforma in un’operazione critica di sicurezza informatica.

Il verbale di conciliazione diventa così lo stadio finale di una procedura operativa standard (SOP) che regola la riconsegna dell’hardware, la disattivazione degli account mail e la revoca degli accessi ai repository strategici come GitHub o GitLab.

Non si tratta solo di logistica, ma di accountability applicata. In questo contesto, il definire termini perentori per la protezione del perimetro aziendale significa prevenire la migrazione del know-how verso i competitor.

In questa cornice, la conferma della titolarità aziendale su ogni riga di codice o schema tecnico prodotto diventa essenziale per tutelare l’Intellectual Property (IP).

Chiudere un rapporto di lavoro oggi significa gestire simultaneamente quattro flussi paralleli: quello civile, quello previdenziale, quello fiscale e quello tecnologico.

Se questi binari non corrono perfettamente allineati all’interno di una strategia di Ingegneria Giuridica, l’accordo non è una soluzione definitiva, ma un canto pericoloso che può portare la nave alla deriva.

 

L’Ingegneria Giuridica non si limita alla risoluzione del conflitto, ma opera una vera e propria estrazione e protezione del valore intangibile.  In recenti operazioni, il verbale di conciliazione è stato trasformato in un protocollo di sicurezza multidimensionale attraverso un’operazione di architettura dove la conformità normativa e la difesa del patrimonio tecnologico convergono per cristallizzare l’innovazione ed eliminare, ex-ante, ogni asimmetria di rischio.

 

/da
, , , , , , , , , , ,

Cinquanta sfumature di rosso sangue e tutela dei dati sanitari fra accessibilità e riservatezza. Esempio di un caso pratico 

Cinquanta sfumature di rosso sangue e tutela dei dati sanitari fra accessibilità e riservatezza. Esempio di un caso pratico 

Di Giacomo Conti

Spesso, quando si affronta il tema dei dati particolari o sensibili ai sensi dell’articolo 9 del GDPR, si cade nell’errore sistematico di considerare il “dato particolare” come un unico, grande calderone indistinguibile.

Questo approccio porta molte organizzazioni ad applicare misure di sicurezza e protocolli organizzativi identici per ogni tipologia di trattamento, ignorando le sfumature di rischio che ogni informazione porta con sé.

Abbiamo rilevato, nella pratica professionale, una generale tendenza, ma non assoluta, a trattare ogni singola informazione sanitaria come se fosse un segreto di Stato. Questo approccio difensivo sta alimentando una burocrazia uniforme che, paradossalmente, rischia di creare un dannosissimo e falso senso di protezione. Lo scarso senso di sicurezza, accompagnato spesso a una scarsa conoscenza del contesto aziendale di riferimento e dall’adozione di procedure non adeguate, è idoneo a creare, molte volte, maggiori rischi di quelli della mancata adozione di una misura di sicurezza.

La realtà professionale ci insegna però che non tutti i dati sono creati uguali, nemmeno quando la norma li etichetta con lo stesso rigore. Per comprendere l’impatto sociale e umano di questo concetto, basta analizzare la differente portata di una violazione della riservatezza a seconda del contenuto del dato. Se un data breach rivela accidentalmente il gruppo sanguigno di un interessato, ci troviamo certamente di fronte a un’irregolarità normativa, ma raramente questa avrà impatti devastanti sulla sfera privata dell’individuo. Al contrario, la diffusione non autorizzata di una diagnosi di HIV o di patologie soggette a un forte stigma sociale può tradursi in una condanna immediata all’isolamento, in discriminazioni sul posto di lavoro o nella rottura irreversibile di rapporti personali. In questi casi, la protezione del dato non è solo un freddo requisito legale, ma si pone a presidio diretto della dignità individuale.

Tuttavia, limitare la protezione alla sola “riservatezza” è il secondo, grande errore che riscontriamo quotidianamente nella gestione della compliance. Ci si preoccupa ossessivamente che il dato non venga “visto” da soggetti non autorizzati, ma si dimentica che la sicurezza informatica e giuridica si regge su un treppiede indissolubile: Riservatezza, Integrità e Disponibilità.

Per visualizzare il rischio, occorre immaginare lo scenario peggiore in un contesto ospedaliero. Se un database viene manomesso o il personale inserisce un dato non esatto o aggiornato e, di conseguenza, il gruppo sanguigno di un paziente viene modificato, la privacy del paziente resta tecnicamente intatta perché nessuno ha “letto” il dato indebitamente. Eppure, se l’integrità del dato è compromessa, una trasfusione basata su quell’informazione errata può rivelarsi letale, al punto di provocare la morte del paziente.

Allo stesso modo, se un attacco informatico rende inaccessibili le informazioni sulle allergie farmaceutiche proprio durante un’emergenza medica, la riservatezza dell’interessato sarà protetta dal più impenetrabile dei muri digitali, ma la mancanza di disponibilità del dato metterà a rischio la sua stessa vita. In un simile frangente, il fatto che nessuno possa leggere la cartella clinica non rappresenta un successo della privacy, ma un drammatico fallimento della protezione altrettanto sanzionabile da parte del Garante della Protezione dei Dati Personali.

Applicare il “rigore nella norma” significa proprio questo, ossia, uscire dalla logica dell’adempimento formale e difensivo per iniziare a pesare il rischio reale derivante dal trattamento del dato sanitario.

In pratica, ciò comporta che un dato medico debba essere, prima di tutto, esatto e accessibile al personale autorizzato. Ne consegue che una burocrazia eccessiva che renda inaccessibile l’informazione può produrre danni speculari, se non superiori, rispetto a una divulgazione non autorizzata.

Proteggere i dati particolari, in conclusione, non significa solo chiudere una porta o un server a chiave, ma garantire che, quando quella chiave serve, la serratura giri perfettamente e che ciò che troviamo dietro la porta sia esattamente l’informazione che ci aspettiamo di trovare.

 

/da
, , , , , , ,

Il Rage Baiting: Rischi legali, diffamazione e responsabilità etica e contrattuale dei brand che usano contenuti polarizzanti.

di Giacomo Conti – Titolare Studio Legale Conti

Il panorama del web 2.0, quello dominato dalle grandi piattaforme, si fonda su un sistema chiamato anche come dall’economia dell’attenzione, dove il tempo e l’interazione degli utenti sono la vera valuta.
In questo contesto, il fenomeno insidioso noto come Rage Baiting, inteso come la creazione deliberata di contenuti studiati per indignare o creare divisioni, sta trasformando la rabbia e la polarizzazione in un asset economico e sta creando un ecosistema digitale tossico con profili di rilevanza giuridica.
Analizziamo il fenomeno dal punto di vista legale e le responsabilità che ne derivano per i creator, le piattaforme e i brand.

⚖️ Il Paradosso Economico-Legale delle Piattaforme
Il modello di business delle grandi piattaforme digitali è basato sull’engagement: maggiore è il coinvolgimento generato dai contenuti condivisi dagli utenti, maggiori sono i ricavi pubblicitari pagati dagli inserzionisti.
Il Rage Baiting sfrutta questa logica, operando come una “deviazione patologica” che genera alte interazioni. I contenuti che generano rabbia e indignazione sono forti catalizzatori che generano like, condivisioni, interazioni e altre dinamiche profittevoli sia per i creatori di contenuti che per le piattaforme.
La voglia di fare profitto di creatori di contenuti contrasta con l’etica e, spesso, il buon senso e dà origine a numerose contraddizioni tipiche dell’era dell’informazione.
Nonostante il Rage Baiting contrasti con i Termini di Servizio (ToS) stabiliti dalle stesse piattaforme, queste hanno un interesse economico a non bloccare subito i contenuti virali, poiché l’aumento delle interazioni si traduce direttamente in maggiori ricavi pubblicitari.

⚠️ Il delicato confine fra Diritto di Critica e Diffamazione Online
La libertà di manifestazione del pensiero è tutelata, ma non è assoluta. Nel contesto digitale, il confine tra provocazione legittima e illecito viene superato con estrema facilità ed in Studio stiamo registrando dei casi di diffamazione online sempre in aumento operati sia da influencer che da gente comune che, spesso, superano i limiti del diritto di critica.
Perché, infatti, un contenuto critico possa ritenersi legittimo, il diritto di critica deve rispettare tre canoni giurisprudenziali fondamentali:
1. Continenza: Tono e linguaggio devono essere misurati, evitando l’insulto gratuito.
2. Pertinenza: I fatti discussi devono essere collegati all’oggetto della critica.
3. Verosimiglianza: I fatti allegati devono presentare un’apparenza di verità credibile, evitando la diffusione di notizie palesemente false.
Non è, pertanto, detto che il contenuto di Rage Baiting sia, in sé, diffamatorio; ma, anzi, al contrario potrebbe essere finalizzato proprio a provocare fenomeni di diffamazione.
Chiunque reagisca, infatti, a contenuti di Rage Baiting in preda all’ira deve essere consapevole che affermazioni impulsive e diffamatorie pubblicate online espongono a gravi conseguenze legali civili e penali se vengono superati i limiti del diritto di critica.
Chi cade nelle trappole del contenuto e risponde alla provocazione travalicando i limiti del diritto di critica, rischia di incorrere nel reato di diffamazione (art. 595 c.p.) che è, peraltro, aggravato quando commesso con mezzi di pubblicità come le piattaforme social e anche in richieste risarcitorie che possono essere più o meno fondate.

🤝 Le Responsabilità Etiche e Contrattuali dei Brand
Il rischio non è solo di tipo legale e non riguarda, solo l’utente medio, ma interessa anche le aziende e gli inserzionisti che collaborano con influencer o creator noti per contenuti polarizzanti.
Se da un lato la visibilità che l’inserzionista ottiene grazie al contenuto è immediata, nel medio-lungo termine si rischia di associare l’immagine aziendale a figure controverse, e l’azienda potrebbe subire danni reputazionali ingenti.
Per mitigare il rischio, le aziende dovrebbero, quindi, in primis, scegliere con estrema attenzione i creatori di contenuti con cui collaborare e servirsi anche di strumenti giuridici che in Studio consigliamo per tutelarsi da eventuali condotte difformi dai valori aziendali realizzati dall’influencer.
Sebbene il diritto non si occupa di etica in senso stretto, le aziende che sponsorizzando determinati influencer, dovrebbero munirsi di un codice etico chiedere ai creatori di aderirvi e imporre determinati obblighi contrattuali che disciplino anche regola di comportamento e di condotta.
Possiamo dire, che le aziende inserzioniste dovrebbero prevedere nei loro contratti di sponsoship con i creatori di contenuti i seguenti obblighi:
• Adesione al Codice Etico Aziendale: Imporre contrattualmente che il creator aderisca al codice etico del brand.
• Obblighi di Condotta: Inserire clausole contrattuali specifiche che disciplinino le regole di comportamento sui social media, prevedendo penali o la risoluzione in caso di condotte dannose o non allineate ai valori aziendali.
In questo modo, gli inserzionisti potrebbero tutelarsi nel caso in cui si trovassero ad essere promotori di contenuti di rage baiting polarizzanti e nocivi anche per la loro reputazione professionale.

🧠 La Migliore Difesa possibile: Educazione Emotiva e Digitale
Il quadro normativo è, a dire il vero, troppo vasto. Si possono citare, infatti, il GDPR, l’AI Act, il Regolamento Platform2Business, il Regolamento Digital Service Act e Digital Market Act, il Data Act, il Regolamento 2018/1807 relativo alla circolazione dei dati non personali e sono sicuro di essermene dimenticato qualcuno e, volutamente, non ho citato le normative nazionali e gli atti di soft law delle autorità di settore. A queste norme aggiungiamo i regolamenti contrattuali dati dai term of service delle piattaforme.
Tuttavia, la vera chiave di volta per disinnescare la trasformazione della rabbia in asset economico è l’educazione digitale, e ancor prima, l’educazione emotiva. Comprendere le dinamiche del Rage Baiting e imparare a gestire le reazioni emotive online è il primo e più potente strumento di prevenzione. Non farsi travolgere dalla rabbia significa non diventare vittime del meccanismo che alimenta il guadagno di chi diffonde contenuti tossici.
La nostra difesa legale più forte inizia con il nostro autocontrollo.

/da
, , , , , , ,

I Principi di Privacy by Design e Privacy by Default nella Progettazione Strategica dei Software Gestionali

Di Giacomo Conti – Titolare Studio Legale Conti


La crescente richiesta di compliance da parte di numerose Software House

Recentemente, il nostro Studio Legale registra un incremento significativo di richieste di consulenza specifica sulla compliance dei software gestionali, si rende quindi necessaria una sintesi dei ruoli e delle accortezze operative essenziali per strutturare un modello organizzativo GDPR adeguato alle Software House.
La Compliance Aziendale GDPR (General Data Protection Regulation – Regolamento UE 2016/679) relativa allo sviluppo e all’impiego di software gestionali è spesso percepita erroneamente come un mero e gravoso onere burocratico 💸. Questa percezione distorta induce molte Software House (SWH) a trascurare la creazione di processi intrinsecamente conformi ai principi di Privacy by Design e Privacy by Default e a non gestire correttamente i ruoli e le obbligazioni legali scaturenti dal Regolamento.
Tali omissioni, tuttavia, non pongono solo il rischio di incorrere in sanzioni GDPR, ma si riflettono in un chiaro svantaggio economico e competitivo che non è immediatamente percettibile in sede di progettazione e design del software. I clienti più strutturati che operano in contesti altamente regolamentati od alto rischio eviteranno, infatti, di integrare soluzioni software che non forniscano adeguate e dimostrabili tutele in materia di protezione dei dati personali.
Ne consegue che, per essere appetibili a clienti di un certo livello, le Software House devono garantire il rispetto del GDPR per l’intero ciclo di vita del software gestionale, dalla fase di progettazione e sviluppo sino alla sua installazione e messa in esercizio, conformandosi a elevati standard di protezione dei dati personali. Lungi dall’essere eccessivamente onerosi, questi adempimenti rappresentano un vantaggio competitivo strategico, ottenibile con un investimento economico, anche moderato, purché mirato e giuridicamente guidato, con una logica orientata ai processi aziendali.

Il Ruolo di Responsabile del Trattamento per le Software House e le conseguenti responsabilità GDPR

I produttori e gli sviluppatori di software gestionale, nella quasi totalità dei casi, si limitano a fornire al Cliente, il Titolare del Trattamento, un prodotto strumentale alla gestione dei processi organizzativi interni; pertanto la Software House opererà, nella stragrande maggioranza dei casi, come Responsabile del Trattamento o, in taluni casi, come Sub-Responsabile ai sensi dell’Art. 28 GDPR.
Il ruolo di Titolare del Trattamento è limitato, in genere, esclusivamente ai dati personali dei propri clienti, ad esempio per i dati di contatto e identificativi per finalità amministrative e contrattuali.

Il Data Protection Agreement e la Gestione dei Sub-Responsabili
All’interno del quadro sopra tracciato riveste un’importanza dirimente la corretta redazione e negoziazione del Contratto di Nomina a Responsabile del Trattamento, o Data Protection Agreement (DPA) che rappresenterà uno dei più importanti allegati, in uno a quello tecnico relativo ai service level agreemnt (SLA), al contratto di licenza sotware.
Bisogna, però, evitare che questo contratto sia visto come un mero adempimento cartolare. Pertanto, prima di formalizzare il DPA, la Software House deve mappare e registrare gli eventuali ulteriori fornitori (Sub-Responsabili), possibilmente nel ROPA (registro delle attività di trattamento) a cui si appoggia per l’erogazione del servizio (es. Cloud Providers come AWS, Google o Microsoft).
Questa mappatura è essenziale per garantire al Titolare la piena conoscenza della catena di trattamento e il rispetto delle clausole di autorizzazione preventiva o generale imposte dall’Art. 28, par. 2 GDPR.

Il Registro delle Attività di Trattamento del Responsabile di trattamento
Per adempiere a tale obbligo di comprensione e di prova (accountability), è indispensabile che la Software House sviluppi e mantenga un Registro delle Attività di Trattamento che dettagli i trattamenti che essa svolge per conto del Titolare. Nella redazione di questo adempimento, è opportuno che la SWH operi un ulteriore sforzo descrittivo dei propri processi, anche ulteriore rispetto a quanto previsto dall’art. 30 GDPR.

La contrattualizzazoine adeguata della gestione dei Data Breach
Un DPA che offra adeguate garanzie deve prevedere un obbligo contrattuale esplicito per la Software House di comunicare eventuali Data Breach subiti al Titolare con un preavviso notevolmente inferiore alle 72 ore previste dall’Art. 33 GDPR per la notifica all’Autorità, idealmente fissato a 48 ore o meno. Ciò garantisce al Titolare il tempo necessario per valutare l’evento e procedere alla notifica ed è valutato positivamente in sede di scelta del fornitore adeguato.

L’adozione di misure di Organizzazione e Sicurezza adeguate al rischio e al contesto: Software in Cloud vs. Software On-Premise
È ineludibile che le misure di organizzazione e sicurezza debbano essere valutate in relazione al contesto operativo specifico del gestionale.
Le misure di base, comuni a ogni sviluppo, includono l’implementazione documentata dei principi di Privacy by Design e by Default: la valutazione delle funzioni applicative in relazione ai principi di minimizzazione dei dati, la differenziazione dei profili di accesso, l’autenticazione robusta e la protezione logica degli archivi.
Tuttavia, bisogna avere chiaro il contesto del software, posto che se questo è in cloud piuttosto che on presmise, sarà opportuno adottare misure differenti con particolari aspetti ai rischi posti dal contesto specifico.

La Data Protection Impact Assessment (DPIA) fra adempimento ed opportunità
Anche se la finalità del trattamento e la raccolta dei dati restano prerogativa del Cliente/Titolare, la Software House, in qualità di Responsabile, deve dimostrare di comprendere il contesto operativo e il rischio generato dal software sui diritti e sulle libertà degli interessati.
Pertanto, è opportuno e potrebbe anche essere richiesto contrattualmente, che la Software House sia chiamata ad effettuare una valutazione di impatto (DPIA) su uno o più processi operativi.
Sebbene la DPIA sia formalmente un obbligo del Titolare, è prassi che i clienti, in particolare quelli di maggiore dimensione o quelli che trattano dati a rischio elevato, ne richiedano la prova o il supporto esplicito prima di sottoscrivere il contratto. È quindi strategicamente opportuno per la Software House condurre una Valutazione d’Impatto in house relativa al proprio software gestionale. Il Titolare potrà poi integrare questa valutazione con la propria DPIA aziendale, riducendo oneri e tempi.
Per la realizzazione di questo adempimento, gli operatori possono fare riferimento agli schemi e ai template ufficiali forniti da autorità di controllo europee, come la CNIL (Garante francese), che offrono una metodologia consolidata per la gestione del rischio.

Uno strumento utile per facilitare l’implementazione di un modello GDPR adeguato: Il codice di condotta di Assosoftware
Per aiutare le piccole medie imprese nella compliance GDPR, si segnala il Codice di condotta adottato secondo quanto prevede l’art. 40 GDPR per il trattamento dei dati personali effettuato dalle imprese di sviluppo e produzione di software gestionale pubblicato sulla gazzetta ufficiale serie generale del 278 del 27 novembre 2024 e reperibile al seguente link: https://www.assosoftware.it/servizi-offerti/codice-di-condotta/

/da
, , , , ,

La protezione dei minori online: perché il Regolamento ‘Chat Control’ viola la privacy di tutti senza proteggere nessuno

Di Giacomo Conti

La proposta di regolamento per la lotta contro il materiale pedopornografico online, noto come “Chat control” o regolamento CSAM, nasce dal nobile intento di proteggere il benessere dei minori online in una logica di prevenzione delle violenze.
Ma è davvero oro tutto ciò che luccica? Come si suol dire, la via dell’inferno è lastricata di buone intenzioni.

Si legge, nella proposta di regolamento, la necessità di prevenire determinati comportamenti online particolarmente lesivi della sfera sessuale dei minori; nella specie il grooming.

L’art. 7 della proposta di regolamento prevede la facoltà di emettere un ordine di rilevazione che impone a un prestatore di servizi di hosting o a un prestatore di servizi di comunicazione interpersonale rientrante nella giurisdizione dello Stato membro in questione di prendere le misure per rilevare casi di abuso sessuale su minori online in un servizio specifico. L’art. 10 della proposta prevede, inoltre, l’implementazione di pattern rivelatori di diffusione di materiale pedopornografico noto o nuovo o di adescamento di minori, a seconda dei casi.
Nonostante la proposta indichi un generico riferimento alla tutela della riservatezza delle comunicazioni e dei dati personali, il regolamento vuole introdurre, senza ombra di dubbio, la scansione di massa delle comunicazioni private, incluse le conversazioni crittografate.

Una proposta simile ha sollevato le perplessità di molti giuristi ed esperti di settore. In particolare, la l’European Data Protectoin Board, la massima autorità in materia di privacy e protezione del dato, ha espresso una sua opinion sul punto.
In particolare, l’EDPB ha rilevato che questa proposta di regolamento arriva ad incidere sul diritto alla riservatezza delle comunicazioni sancito e sul diritto fondamentale alla protezione dei dati personali, riconosciuti rispettivamente dall’art. 7 ed 8 CEDU. Diritti che, peraltro, fanno parte delle tradizioni costituzionali comuni agli Stati membri.

L’EDPB ha sollevato, inoltre, significative perplessità sull’efficacia delle misure tecnologiche che il regolamento vorrebbe introdurre per contrastare il fenomeno del grooming. In particolare, il Comitato rileva che, al momento, non sembra sussistere alcuna soluzione tecnologica in grado di rilevare il materiale pedopornografico condiviso in forma cifrata. Inoltre, l’EDPB ha constatato che le tecnologie attualmente disponibili, in particolare quelle per la rilevazione di materiale pedopornografico nuovo o del grooming, presentano tassi di errore relativamente elevati. Soprattutto se queste tecnologie vedono implementate soluzioni basate sull’intelligenza artificiale. Pertanto, le misure di rilevazione previste dalla proposta potrebbero avere un impatto inferiore, o anche inutile, rispetto a quello auspicato sulla diffusione di materiale pedopornografico su internet.
L’EDPB ritiene, più specificatamente, che l’ingerenza creata dalle misure per la rilevazione dell’adescamento di minori vada oltre quanto strettamente necessario e proporzionato per garantire un adeguato contemperamento delle esigenze di tutela dei diritti alla riservatezza della corrispondenza e alla protezione dei dati personali.

La Presidenza Danese, con un approccio meno diplomatico di quello dell’EDPB, ha posto degli interrogativi essenziali e più diretti alle problematiche sollevate dalla proposta.
In particolare, l’Istituzione ha rilevato che l’indebolimento obbligatorio della crittografia end-to-end creerebbe falle di sicurezza sfruttabili da criminali informatici, stati rivali e organizzazioni terroristiche, danneggiando inoltre la competitività della nostra economia digitale.
Inoltre, l’approccio tecnico proposto si basa su strumenti di analisi automatica dei contenuti che producono un’alta percentuale di falsi positivi, creando il rischio che utenti innocenti possano essere incriminati ingiustamente, mentre l’efficacia di questo approccio nella protezione dei bambini non è stata dimostrata.

Ripropongo, senza aggiungere altro, i legittimi interrogativi che ha posto la Presidenza Danese:
“Considerando la scansione obbligatoria di tutte le comunicazioni private, il regolamento proposto è compatibile con l’articolo 7 della Carta dei diritti fondamentali?
Come garantirà che la protezione dei minori sia raggiunta attraverso misure mirate e dimostrate efficaci, senza violare i diritti fondamentali di tutti i cittadini?
Come intende prevenire l’impatto negativo sulla cybersicurezza e sulla competitività economica causato dall’indebolimento della crittografia?”

La questione pone problemi non solo giuridici, ma anche filosofici di base su cui è bene interrogarci prima di pensare di introdurre riforme di un simile impatto.
Ritengo, in primo luogo, erroneo porre in termini di binomio il rapporto fra sicurezza e libertà che sono concetti non assoluti.
La libertà si esprime in un contesto: posso essere libero di compiere o non compiere determinate azioni o da una certa ingerenza che può essere privata o pubblica. Ugualmente e di pari passo, il concetto di sicurezza, come sanno bene gli informatici, non è un concetto assoluto, ma relativo. Posso essere sicuro solo da qualcosa. Nell’illuminante lettura del libro di Cesare Gallotti sulla sicurezza dell’informazioni, mi colpì il riferimento alla sicurezza di Fort Knox, il luogo dove è conservata la riserva aurea degli Stati Uniti considerato, forse giustamente uno dei luoghi più sicuri al mondo. Nello specifico, Fort Knox di fronte a un molto improbabile pioggia meteoritica o attacco alieno sarebbe un luogo decisamente vulnerabile.
Bisogna, infatti, partire dall’assunto che senza libertà non possa esserci sicurezza e viceversa. Sorge, pertanto, spontaneo chiedersi di quale libertà potrà mai godere un individuo non sicuro e quale sicurezza potrebbe avere un individuo non libero. Un poco come il mito della caverna di Platone, la libertà e la sicurezza dovrebbero derivare da una maggiore comprensione del mondo che ci circonda.
Sembra, pertanto, inimmaginabile che l’Unione Europea, patria del GDPR, abbia potuto partorire un simile obbrobrio giuridico che neanche una dittatura distopica si sognerebbe di proporre.
Queste considerazioni, mi hanno rinfrescato ricordi di storia e, in particolare, la massima di Wiston Churchill elaborata a Chamberlain e ai sostenitori delle politiche di appeasement verso Hitler e i Nazionalsocialisti: “Potevano scegliere fra il disonore e la guerra. Hanno scelto il disonore e avranno la guerra”
Nel caso concreto, applicando questa massima alla democraticissima Unione Europea, mi viene da parafrasare W. Churchill in questi termini: “Potrebbero scegliere fra la libertà e la sicurezza. Sceglieranno la sicurezza, non avranno sicurezza e perderanno la libertà.”

A dispetto del dichiarato progresso, la mia personale opinione è che stiamo regredendo al futuro tracciando scenari inimmaginabili neanche nei più tetri romanzi distopici.

Per il testo della proposta di regolamento, v. il sito istituzionale in https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:52022PC0209
Per il parere dell’European Data Protection Board scarica il contenuto dal sito ufficiale in https://www.edpb.europa.eu/system/files/2023-02/edpb_edps_jointopinion_202204_csam_it.pdf
Per i quesiti posti dalla presidenza danese v. https://www.europarl.europa.eu/doceo/document/E-10-2025-003250_EN.html

Per il riferimento letterario v.: https://trbooks.de/regIT.php?id=Sicurezza%20delle%20informazioni:%20valutazione%20del%20rischio;%20i%20sistemi%20di%20gestione%20per%20la%20sicurezza%20delle%20informazioni;%20la%20norma%20ISO/IEC%2027001-0244153019

/da
, , , , , ,

Il caso “mia moglie” e “phica” fra diritto penale e comportamenti incivili

Di Giacomo Conti

Nel talk con Alessandro Oteri di Pensiero Sicuro Network (https://www.pensierosicuronetwork.it/) ho avuto modo di riflettere, con l’ottimo intervistatore, in termini tecnici e legali sulle conseguenze civili e penali derivanti dalla scabrosa vicenda dei gruppi social “mia moglie” e “phica” a cui erano iscritti oltre 30mila utenti. È doveroso considerare inoltre che, molto probabilmente, nel web sommerso e non istituzionale siano presenti molti gruppi del genere in altre comunità che non hanno avuto lo stesso risalto mediatico anche perché più difficili da individuare e da arginare. Questo per darci un’idea della gravità del fenomeno.

Ho trovato che la vicenda non sia del tutto nuova, inedita o imprevedibile, ma che abbia molti tratti in comune con altri casi passati. Mi riferisco, in particolare, alla triste vicenda di Tiziana Cantore e al caso fapgate; vicende di oltre 10 anni fa che, però, ebbero un minore impatto mediatico. Come dice Mark Twain: “La storia non si ripete, ma rima”. Il caso fapgate, in particolare, ha visto l’esfiltrazione di foto di nudo e sessualmente esplicite derivanti da un data breach dei sistemi Apple. Posto che il caso ha riguardato principalmente celebrità oltre oceano e non persone comuni, il risalto mediatico in Italia è stato molto limitato, anche perché ci siamo probabilmente sentiti meno coinvolti nella vicenda. Ugualmente, non fu dato il giusto rilievo mediatico alla vicenda di Tiziana Cantore e ai pericoli che la condivisione dei propri dati personali comporta. Forse perché, prima del GDPR, vi era meno consapevolezza sui pericoli che la rete poneva e meno cultura in tema di cybersecurity e protezione del dato personale.

Tutte queste vicende dovrebbero farci riflettere sul valore che i nostri dati, comprese fotografie personali e video, hanno e, lungi dal darci risposte dovremmo porci le giuste domande e l’impatto che certe condotte, prese con leggerezza, potrebbero avere sulle nostre vite. Il considerando 75 all’art. 24 GDPR prevede, infatti, espressamente come rischi derivanti dal trattamento i pregiudizi alla riservatezza e la perdita di controllo dei propri dati. Questi rischi sono ancora più marcati nel caso in cui la divulgazione illecita riguardi i dati relativi alla vita sessuale della persona, che sono personali particolari o sensibili secondo la terminologia del vecchio codice privacy; e, per l’appunto, meritevoli di una particolare protezione.

Nel corso della piacevole chiacchierata abbiamo, poi, avuto modo di approfondire i profili di rilevanza penale della vicenda.

Con riferimento a queste vicende si è parlato, malamente e a sproposito, di revenge porn. Come spesso accade, il linguaggio comune non consente di abbracciare le complessità tecniche della vicenda. Il Codice penale punisce, infatti, all’art. 612 ter la “Diffusione illecita di immagini o video sessualmente espliciti”, a prescindere da una finalità ultima di vendetta nei confronti della vittima.

La norma punisce con la reclusione da uno a sei anni e con la multa da euro 5.000 a euro 15.000 chiunque, dopo averli realizzati o sottratti, invia, consegna, cede, pubblica o diffonde immagini o video a contenuto sessualmente esplicito, quando questi contenuti erano destinati a rimanere privati e laddove la pubblicazione avvenga senza il consenso della vittima. Si può realizzare questo reato, dunque, anche se l’intenzione ultima era quella di fare un atto meramente goliardico senza alcuna finalità di vendetta.

In ogni caso, la giurisprudenza ha stabilito con chiarezza che ai fini della configurabilità del delitto di diffusione illecita di immagini o video sessualmente espliciti, la divulgazione può riguardare non solo immagini o video che ritraggono atti sessuali ovvero organi genitali, ma anche altre parti erogene del corpo umano in condizioni e contesti tali da evocarne la sessualità. (Cass. Pen, Sez. V, sentenza n. 14927, 22 febbraio 2023). Pertanto, si deve fare attenzione a diffondere qualsiasi contenuto che potrebbe essere considerato sessualmente esplicito, anche senza la necessità che si tratti di contenuti pornografici o di nudo.

Appurato che il cosiddetto revenge porn postula una condotta di condivisione di contenuti inizialmente privati diffusi senza autorizzazione, bisogna mettere in luce come, laddove la vittima abbia già diffuso sui social questi video in autonomia e questi siano stati poi ricondivisi, potrebbe essere integrato al più, solo il delitto di diffamazione e, come vedremo dopo, solo al ricorrere di specifiche condizioni. In questo caso, però, il reato di diffamazione si declina nella sua forma aggravata ai sensi dell’art. 595, comma 3, c.p.

Abbiamo, infatti, evidenziato nel talk come una diffusione a mezzo social network di determinati contenuti è una condotta particolarmente lesiva della reputazione visto il carattere di “piazza dalla eco infinita” dei servizi social del web 2.0. Questo è quanto ha stabilito la Cass. Pen., sez. V, 1° febbraio 2017, n. 4873 in tema di condivisione di un contenuto diffamatorio attraverso l’uso di una bacheca Facebook.

Pertanto, denigrare online, commentare anche in maniera goliardica con modalità offensive e, conseguentemente, diffondere i contenuti di questi gruppi online, è ben più grave che operare un commento denigratorio, ad esempio, al bar con gli amici.

Ugualmente e per giurisprudenza costante, la diffamazione aggravata può essere integrato anche se l’autore voleva commentare il contenuto in maniera goliardica anche senza volere offendere espressamente la vittima. Per realizzare questo reato basta quello che, in gergo tecnico, viene definito dolo generico.

Bisogna, pertanto, fare molta attenzione a quello che si scrive quando si commentano e si diffondono online foto o video altrui.

Tuttavia, ci sono anche determinati comportamenti che, per quanto riprovevoli, non assumono rilevanza penale pur essendo al limite con la diffamazione.

In particolare, la giurisprudenza si è posta il problema se si potesse realizzare diffamazione anche attraverso la ricondivisione o il semplice Like di un contenuto diffamatorio condiviso da terzi, ma ha rilevato come sia diversa la condotta di creazione e diffusione del contenuto illecito da quella che si articola nell’apprezzarlo e nel condividerlo con terzi. La Suprema Corte ha ritenuto che chi ricondivide o apprezza il contenuto diffamatorio non dimostra di volerne amplificare l’effetto lesivo attraverso il proprio comportamento, ma adopera una condotta di mera adesione alla critica, senza però travalicare i limiti al diritto di critica imposti dalla continenza (V. Cass. pen. Sez. III Sent n. 19659 e Cass Pen. Sent. Sez.V., n. 3981 sel 2016).

Ugualmente e a maggior ragione, pure in assenza di precedenti specifici sul punto, non dovrebbero avere rilevanza penale la condotta di chi si limita ad aderire al gruppo o scarica il contenuto senza, però, diffonderlo, condividerlo o comunicarlo a terzi.

Il talk si è concluso con un invito a creare un mondo più consapevole e sicuro e all’invito a tenere comportamenti etici come il non fare parte di questi gruppi o a segnalarli alle piattaforme.
Mai come ora dobbiamo sviluppare una consapevolezza del nostro corpo nella sua declinazione digitale e in rete e conoscere le insidie che la rete presenta per vivere in una società migliore e protetta.

La recente vicenda ci ha fatto comprendere come la massima di Rodotà secondo cui Divenute entità disincarnate, le persone hanno sempre più bisogno di una tutela del loro «corpo elettronico»” è mai come ora attuale e come non possa esistere nessuna sicurezza senza consapevolezza.

Come sempre, grazie per l’attenzione

Per chi fosse interessato ad approfondire l’argomento, rinviamo ai contenuti multimediali dove è possibile reperire l’intervista integrale sul canale YouTube https://www.youtube.com/watch?v=lWzuI9ApgmU&t=4s e sul sito istituzionale di Pensiero Sicuro https://linktr.ee/pensierosicuro

/da
, , , , , , , ,

Il regime di responsabilità di Google per contenuti di terze parti nella giurisprudenza del Consiglio di Stato

di Giacomo Conti

 

Il Consiglio di Stato, con la recente pronuncia 04277.2024 ha escluso l’applicabilità della Direttiva sul Commercio elettronico per l’intermediario digitale, ritenendo non giustificato il principio speciale di esenzione da responsabilità per contenuti di parti terzi per l’intermediario digitale.

La vicenda in esame nasce da una sanzione dell’AGCOM attraverso la quale BigG è stato sanzionato per violazione dell’art. 9 del Decreto Dignità che impone il “Divieto di pubblicità giochi e scommesse”.

L’attività istruttoria operata dall’Autorità Garante ha messo in luce come digitando le parole chiave “Casinò online” si poteva raggiungere, dalla pagina dei risultati di ricerca Google Web Search,  il link al sito http://sublime-casino.com : sito che conteneva una réclame del gioco d’azzardo attraverso inviti del seguente tenore: “Unisciti Ora Al Nuovissimo Casinò Online Italiano. Gioca Subito A Oltre 400 Giochi  Iscriviti Ora E Registrati In Meno Di 30 Secondi! Nessun download. Sicuro e Protetto“. A sua volta, il sito dell’inserzionista rivinava ad ulteriori link per siti web che consentivano agli utenti di giocare a pagamento online.

Google, nell’ambito delle proprie difese, eccepiva la totale estraneità della propria attività rispetto alla pubblicazione di annunci dei propri utenti commerciali sulla propria piattaforma, la liceità dell’annuncio e il rispetto del decreto dignità in quanto l’annuncio non consentiva di effettuare gioco d’azzardo direttamente.

Disattendendo le eccezioni di Google e riformando in parte la pronuncia del TAR di primo grado, il Consiglio di Stato ha messo in luce come Google non rientrerebbe nel perimetro soggettivo di applicazione dell’hosting provider ai sensi della Direttiva del commercio elettronico.

L’istruttoria operata dal Collegio ha messo in luce come il servizio Google Web Search fornito dalla società consente agli utenti di ricercare su internet contenuti pubblicati da terze parti, mentre il servizio Google Ads, tramite il quale è stato pubblicato l’annuncio di contestazione, è un servizio di posizionamento pubblicitario online che consente agli operatori economici di pubblicare “link sponsorizzati verso determinati siti di destinazione” associati a determinate parole o chiavi di ricerca. È stato evidenziato come sia proprio l’attività Google a rendere maggiormente visibili questi risultati rispetto ad altri all’utenza. In particolare, il Consiglio di Stato ha precisato che l’attività di promozione commerciale svolta da Google sia confermata dalla circostanza per cui gli inserzionisti pagano la piattaforma per il servizio in modo proporzionale rispetto alle effettive visualizzazioni che il messaggio pubblicitario riceve.

Posto che Google realizza un controllo sui contenuti presenti all’interno del proprio servizio nell’ottica di consentire ai propri clienti di “ottimizzare le loro vendite online” promuovendoli sul mercato e avendo al riguardo un proprio interesse economico alla buona riuscita di tale promozione Google, non può sicuramente ritenersi un intermediario passivo.

Pertanto, l’attività realizzata da Google esclude che questo possa essere hosting provider passivo, dal momento che la società svolge un servizio di indicizzazione e promozione professionale di contenuti di terze parti. La conseguenza naturale è che Google non rimane neutrale in relazione ai contenuti indicizzati e pubblicati nella propria piattaforma.

In ragione di queste argomentazioni, il Consiglio di Stato ha ritenuto integrati i presupposti richiesti dalla giurisprudenza europea e nazionale per poter qualificare un operatore quale hosting provider attivo, con conseguente esenzione dell’applicazione del regime di responsabilità speciale di safe harbor per gli hosting provider disciplinato dalla direttiva sul commercio elettronico.

 

Per maggiori approfondimenti, v. il testo integrale del provvedimento CdS Google

/da