, , , , , , , , ,

Cane non mangia cane, ma il pesce grande divora sempre il piccolo: la trappola del fatturato nell’Abuso di Dipendenza Economica

L’analisi tecnica della Sentenza della Corte d’Appello di Milano, n. 3460 del 16 dicembre 2025

di Giacomo Conti

 

Questa analisi tecnica è redatta esclusivamente per Titolari, General Counsel e Responsabili Acquisti di aziende che operano in regime di subfornitura (Legge 192/98), non importa se PMI o medio grande, perché se la tua azienda dipende per oltre il 25% del fatturato da un unico committente, quello che stai per leggere è il tuo piano di emergenza.

 

Nel mercato B2B di oggi caratterizzato da filiere integrate e partnership sempre più strette, il confine tra sinergia strategica e trappola di dipendenza è spesso estremamente sottile.

La recente pronuncia della Corte d’Appello di Milano (Sez. III, n. 3460/2025) interviene con precisione chirurgica nel definire i perimetri dell’articolo 9 della Legge 192/98, offrendo un’interpretazione che ogni organo amministrativo dovrebbe monitorare con attenzione.

La sentenza chiarisce un principio fondamentale in tema di onere probatorio, ossia che la tutela legale contro l’abuso di dipendenza economica non è un automatismo derivante dalla sola disparità dimensionale e di potere economico tra le parti, ma rappresenta il risultato di una rigorosa dimostrazione tecnica e documentale.

Secondo l’orientamento espresso dai giudici milanesi, la configurazione di un’ipotesi di abuso richiede l’accertamento di due pilastri concorrenti che spostano l’onere della prova in modo significativo verso l’impresa asseritamente debole.

Il primo requisito oggettivo riguarda la sussistenza di una reale situazione di dipendenza, definita tecnicamente come “Lock-in”. Non è sufficiente riscontrare un’asimmetria di diritti e obblighi nel testo contrattuale, ma occorre dimostrare che tale squilibrio sia eccessivo e che il contraente che lo subisce risulti privo di reali alternative economiche sul mercato. Questa condizione si manifesta tipicamente quando l’organizzazione aziendale progetta i processi produttivi e gli investimenti, anche preventivando immobilizzazioni di risorse e capitali, in vista di quel singolo rapporto. Sotto il profilo della prova negativa, gli investimenti verso il fornitore principale dovrebbero rendere impossibile o eccessivamente oneroso differenziare l’attività in tempi brevi. In questo scenario, il partner commerciale cessa di essere un cliente per trasformarsi in un monopolista di fatto dell’impresa e arriva ad esercitare un’influenza dominante sulla controparte contrattuale debole.

Il secondo pilastro dell’analisi riguarda l’elemento soggettivo, ovvero l’abuso propriamente detto. La condotta della parte dominante deve risultare arbitraria e contraria ai canoni di buona fede e correttezza. La Corte richiede la prova di un’intenzionalità vessatoria perpetrata in vista di fini che esulano dalla lecita iniziativa commerciale o da un apprezzabile interesse dell’impresa dominante. Si tratta di un passaggio critico in quanto la condotta non è abusiva se risponde a una logica di mercato razionale, anche se dura; ma lo diventa quando scivola nella prevaricazione fine a se stessa o nell’elusione del vincolo fiduciario.

Dalla lettura della sentenza emerge quanto l’onere della prova sia gravoso per il “pesce piccolo”.

Dimostrare contemporaneamente l’assenza di sbocchi alternativi e l’intento malevolo della controparte richiede una profondità di analisi che non può essere improvvisata nella fase patologica del rapporto, ma deve essere gestita e pianificata a monte.

Questo scenario ci impone di ripensare radicalmente gli archetipi dei cosiddetti contratti B2B di terzo tipo, dove la libertà negoziale è spesso un simulacro che nasconde rapporti di forza strutturalmente sbilanciati.

In questo contesto, il ruolo dell’Ingegneria Giuridica applicata alla compliance contrattuale diventa determinante.

La gestione del rischio non può più essere reattiva, limitata al tentativo di sanare un recesso improvviso o una modifica unilaterale delle condizioni.

È necessaria, già in sede di redazione del contratto, una mappatura preventiva delle asimmetrie che permetta di valutare se la crescita di fatturato con un unico grande partner stia creando una vulnerabilità sistemica.

Proteggere l’autonomia economica, attraverso l’audit costante dei contratti e la strutturazione di clausole di salvaguardia, non è un mero esercizio di teoria legale, ma una necessità di business imprescindibile per chiunque voglia operare in mare aperto senza restare intrappolato in un acquario dove altri possono decidere, in ogni momento, di interrompere il flusso di ossigeno.

/da
, , , , , , , , ,

Recuperare l’irrecuperabile: l’Ingegneria Giuridica applicata al recupero di asset edili infungibili

Recuperare l’irrecuperabile: l’Ingegneria Giuridica applicata al recupero di asset edili infungibili

Di Giacomo Conti

Nel mercato del Real Estate e delle grandi infrastrutture, la tutela del credito non è una mera questione contabile, ma va oltre se riguarda asset aziendali infungibili la cui dispersione può provocare grandi danni all’imprenditore. Infatti, il recupero di asset industriali complessi, fra cui sistemi di ponteggio prodotti sulla base di una specifica autorizzazione ministeriale, impone una riflessione pragmatica sui limiti strutturali della tutela civile ordinaria.

Spesso, l’approccio tradizionale basato sul tradizionale recupero del credito, ossia ricorso per decreto ingiuntivo, precetto e pignoramento, si scontra con una realtà dove il tempo e la condotta del debitore giocano un ruolo distruttivo per le ragioni creditizie e rendono infruttuosa iniziative giudiziali non coordinate o isolate.

La chiusura di un cantiere è, infatti, ben più veloce rispetto ai mesi necessari per giungere al pignoramento e il rischio che questi beni vengano sottratti rischia di essere, spesso, molto elevato.

Il “Moral Hazard” del debitore alla chiusura del cantiere

Il momento di massima vulnerabilità per le ragioni creditorie coincide quasi sempre con lo smantellamento del cantiere. In questo contesto, il debitore, agendo in regime di moral hazard, può realizzare la sottrazione abusiva dei beni strumentali, anticipando i tempi di una procedura esecutiva. Ed è proprio in questi scenari che il binario civilistico classico mostra le sue fragilità più evidenti.

Il rischio per il creditore è quello di anticipare spese legali che rischia di non recuperare o, se va bene, di ottenere una mera tutela risarcitoria “per equivalente”, ossia un ristoro meramente cartolare, incapace di reintegrare prontamente il patrimonio aziendale.

Questa impasse costringe spesso le imprese ad accettare accordi transattivi penalizzanti pur di evitare l’esito incerto di un pignoramento mobiliare negativo.

La leva penale: l’art. 646 c.p. come acceleratore negoziale

Tuttavia, quando la posta in gioco è elevata, la transazione al ribasso potrebbe non essere l’opzione preferibile, ma si dovrebbe valutare di utilizzare il Codice Penale come leva negoziale per rafforzare le ragioni di tutela del credito.

La sottrazione clandestina e abusiva di beni strumentali infungibili non può essere derubricata a semplice inadempimento. Al contrario, essa integra i presupposti dell’appropriazione indebita (art. 646 c.p.) che non disciplina solamente una sanzione penale, ma rappresenta una leva operativa e contrattuale formidabile.

In primo luogo, essa consente l’attivazione del sequestro conservativo e, secondariamente, sposta il confronto dalla responsabilità limitata dell’ente alla responsabilità personale e patrimoniale degli amministratori.

La forza d’urto della Liquidazione Giudiziale

Anche la tutela penale potrebbe, però, essere insoddisfacente e potrebbe affiancarsi a un ulteriore strumento giuridico di straordinaria potenza. Questo può accadere, ad esempio, se la società si serve di prestanomi che svolgono la funzione di deflettere eventuali azioni legali dirette verso i veri amministratori di fatto.

Tuttavia, questa tutela richiede che il valore degli asset sia significativo, almeno 30Mila Euro e che i requisiti dimensionali del debitore consentano di azionare la tutela concorsuale. In questo contesto, l’istanza di liquidazione giudiziale (ex fallimento) emerge come il catalizzatore negoziale definitivo e la leva negoziale finale.

Il deposito del ricorso mette il debitore di fronte a un bivio: subire lo scrutinio degli organi della procedura sulle proprie condotte distruttive o definire immediatamente la pendenza. Il diritto concorsuale diventa così la forza d’urto necessaria per forzare una reale volontà transattiva.

Oltre la burocrazia: la visione strategica

Il successo in operazioni di questa portata non risiede nell’applicazione monolitica di una norma, ma nella capacità di coordinare l’azione civile, penale e concorsuale in un unico disegno programmato.

È questo l’approccio multidisciplinare che ci ha permesso di ottenere la restituzione integrale del materiale, il pagamento delle fatture insolute e la rifusione delle spese legali.

In definitiva, la tecnica priva di visione rimane burocrazia inefficace. È la strategia coordinata — l’Ingegneria Giuridica — l’unico strumento capace di riportare il risultato a casa.

/da
, , , , , , , , , , ,

Cinquanta sfumature di rosso sangue e tutela dei dati sanitari fra accessibilità e riservatezza. Esempio di un caso pratico 

Cinquanta sfumature di rosso sangue e tutela dei dati sanitari fra accessibilità e riservatezza. Esempio di un caso pratico 

Di Giacomo Conti

Spesso, quando si affronta il tema dei dati particolari o sensibili ai sensi dell’articolo 9 del GDPR, si cade nell’errore sistematico di considerare il “dato particolare” come un unico, grande calderone indistinguibile.

Questo approccio porta molte organizzazioni ad applicare misure di sicurezza e protocolli organizzativi identici per ogni tipologia di trattamento, ignorando le sfumature di rischio che ogni informazione porta con sé.

Abbiamo rilevato, nella pratica professionale, una generale tendenza, ma non assoluta, a trattare ogni singola informazione sanitaria come se fosse un segreto di Stato. Questo approccio difensivo sta alimentando una burocrazia uniforme che, paradossalmente, rischia di creare un dannosissimo e falso senso di protezione. Lo scarso senso di sicurezza, accompagnato spesso a una scarsa conoscenza del contesto aziendale di riferimento e dall’adozione di procedure non adeguate, è idoneo a creare, molte volte, maggiori rischi di quelli della mancata adozione di una misura di sicurezza.

La realtà professionale ci insegna però che non tutti i dati sono creati uguali, nemmeno quando la norma li etichetta con lo stesso rigore. Per comprendere l’impatto sociale e umano di questo concetto, basta analizzare la differente portata di una violazione della riservatezza a seconda del contenuto del dato. Se un data breach rivela accidentalmente il gruppo sanguigno di un interessato, ci troviamo certamente di fronte a un’irregolarità normativa, ma raramente questa avrà impatti devastanti sulla sfera privata dell’individuo. Al contrario, la diffusione non autorizzata di una diagnosi di HIV o di patologie soggette a un forte stigma sociale può tradursi in una condanna immediata all’isolamento, in discriminazioni sul posto di lavoro o nella rottura irreversibile di rapporti personali. In questi casi, la protezione del dato non è solo un freddo requisito legale, ma si pone a presidio diretto della dignità individuale.

Tuttavia, limitare la protezione alla sola “riservatezza” è il secondo, grande errore che riscontriamo quotidianamente nella gestione della compliance. Ci si preoccupa ossessivamente che il dato non venga “visto” da soggetti non autorizzati, ma si dimentica che la sicurezza informatica e giuridica si regge su un treppiede indissolubile: Riservatezza, Integrità e Disponibilità.

Per visualizzare il rischio, occorre immaginare lo scenario peggiore in un contesto ospedaliero. Se un database viene manomesso o il personale inserisce un dato non esatto o aggiornato e, di conseguenza, il gruppo sanguigno di un paziente viene modificato, la privacy del paziente resta tecnicamente intatta perché nessuno ha “letto” il dato indebitamente. Eppure, se l’integrità del dato è compromessa, una trasfusione basata su quell’informazione errata può rivelarsi letale, al punto di provocare la morte del paziente.

Allo stesso modo, se un attacco informatico rende inaccessibili le informazioni sulle allergie farmaceutiche proprio durante un’emergenza medica, la riservatezza dell’interessato sarà protetta dal più impenetrabile dei muri digitali, ma la mancanza di disponibilità del dato metterà a rischio la sua stessa vita. In un simile frangente, il fatto che nessuno possa leggere la cartella clinica non rappresenta un successo della privacy, ma un drammatico fallimento della protezione altrettanto sanzionabile da parte del Garante della Protezione dei Dati Personali.

Applicare il “rigore nella norma” significa proprio questo, ossia, uscire dalla logica dell’adempimento formale e difensivo per iniziare a pesare il rischio reale derivante dal trattamento del dato sanitario.

In pratica, ciò comporta che un dato medico debba essere, prima di tutto, esatto e accessibile al personale autorizzato. Ne consegue che una burocrazia eccessiva che renda inaccessibile l’informazione può produrre danni speculari, se non superiori, rispetto a una divulgazione non autorizzata.

Proteggere i dati particolari, in conclusione, non significa solo chiudere una porta o un server a chiave, ma garantire che, quando quella chiave serve, la serratura giri perfettamente e che ciò che troviamo dietro la porta sia esattamente l’informazione che ci aspettiamo di trovare.

 

/da
, , , , , , ,

Il Rage Baiting: Rischi legali, diffamazione e responsabilità etica e contrattuale dei brand che usano contenuti polarizzanti.

di Giacomo Conti – Titolare Studio Legale Conti

Il panorama del web 2.0, quello dominato dalle grandi piattaforme, si fonda su un sistema chiamato anche come dall’economia dell’attenzione, dove il tempo e l’interazione degli utenti sono la vera valuta.
In questo contesto, il fenomeno insidioso noto come Rage Baiting, inteso come la creazione deliberata di contenuti studiati per indignare o creare divisioni, sta trasformando la rabbia e la polarizzazione in un asset economico e sta creando un ecosistema digitale tossico con profili di rilevanza giuridica.
Analizziamo il fenomeno dal punto di vista legale e le responsabilità che ne derivano per i creator, le piattaforme e i brand.

⚖️ Il Paradosso Economico-Legale delle Piattaforme
Il modello di business delle grandi piattaforme digitali è basato sull’engagement: maggiore è il coinvolgimento generato dai contenuti condivisi dagli utenti, maggiori sono i ricavi pubblicitari pagati dagli inserzionisti.
Il Rage Baiting sfrutta questa logica, operando come una “deviazione patologica” che genera alte interazioni. I contenuti che generano rabbia e indignazione sono forti catalizzatori che generano like, condivisioni, interazioni e altre dinamiche profittevoli sia per i creatori di contenuti che per le piattaforme.
La voglia di fare profitto di creatori di contenuti contrasta con l’etica e, spesso, il buon senso e dà origine a numerose contraddizioni tipiche dell’era dell’informazione.
Nonostante il Rage Baiting contrasti con i Termini di Servizio (ToS) stabiliti dalle stesse piattaforme, queste hanno un interesse economico a non bloccare subito i contenuti virali, poiché l’aumento delle interazioni si traduce direttamente in maggiori ricavi pubblicitari.

⚠️ Il delicato confine fra Diritto di Critica e Diffamazione Online
La libertà di manifestazione del pensiero è tutelata, ma non è assoluta. Nel contesto digitale, il confine tra provocazione legittima e illecito viene superato con estrema facilità ed in Studio stiamo registrando dei casi di diffamazione online sempre in aumento operati sia da influencer che da gente comune che, spesso, superano i limiti del diritto di critica.
Perché, infatti, un contenuto critico possa ritenersi legittimo, il diritto di critica deve rispettare tre canoni giurisprudenziali fondamentali:
1. Continenza: Tono e linguaggio devono essere misurati, evitando l’insulto gratuito.
2. Pertinenza: I fatti discussi devono essere collegati all’oggetto della critica.
3. Verosimiglianza: I fatti allegati devono presentare un’apparenza di verità credibile, evitando la diffusione di notizie palesemente false.
Non è, pertanto, detto che il contenuto di Rage Baiting sia, in sé, diffamatorio; ma, anzi, al contrario potrebbe essere finalizzato proprio a provocare fenomeni di diffamazione.
Chiunque reagisca, infatti, a contenuti di Rage Baiting in preda all’ira deve essere consapevole che affermazioni impulsive e diffamatorie pubblicate online espongono a gravi conseguenze legali civili e penali se vengono superati i limiti del diritto di critica.
Chi cade nelle trappole del contenuto e risponde alla provocazione travalicando i limiti del diritto di critica, rischia di incorrere nel reato di diffamazione (art. 595 c.p.) che è, peraltro, aggravato quando commesso con mezzi di pubblicità come le piattaforme social e anche in richieste risarcitorie che possono essere più o meno fondate.

🤝 Le Responsabilità Etiche e Contrattuali dei Brand
Il rischio non è solo di tipo legale e non riguarda, solo l’utente medio, ma interessa anche le aziende e gli inserzionisti che collaborano con influencer o creator noti per contenuti polarizzanti.
Se da un lato la visibilità che l’inserzionista ottiene grazie al contenuto è immediata, nel medio-lungo termine si rischia di associare l’immagine aziendale a figure controverse, e l’azienda potrebbe subire danni reputazionali ingenti.
Per mitigare il rischio, le aziende dovrebbero, quindi, in primis, scegliere con estrema attenzione i creatori di contenuti con cui collaborare e servirsi anche di strumenti giuridici che in Studio consigliamo per tutelarsi da eventuali condotte difformi dai valori aziendali realizzati dall’influencer.
Sebbene il diritto non si occupa di etica in senso stretto, le aziende che sponsorizzando determinati influencer, dovrebbero munirsi di un codice etico chiedere ai creatori di aderirvi e imporre determinati obblighi contrattuali che disciplino anche regola di comportamento e di condotta.
Possiamo dire, che le aziende inserzioniste dovrebbero prevedere nei loro contratti di sponsoship con i creatori di contenuti i seguenti obblighi:
• Adesione al Codice Etico Aziendale: Imporre contrattualmente che il creator aderisca al codice etico del brand.
• Obblighi di Condotta: Inserire clausole contrattuali specifiche che disciplinino le regole di comportamento sui social media, prevedendo penali o la risoluzione in caso di condotte dannose o non allineate ai valori aziendali.
In questo modo, gli inserzionisti potrebbero tutelarsi nel caso in cui si trovassero ad essere promotori di contenuti di rage baiting polarizzanti e nocivi anche per la loro reputazione professionale.

🧠 La Migliore Difesa possibile: Educazione Emotiva e Digitale
Il quadro normativo è, a dire il vero, troppo vasto. Si possono citare, infatti, il GDPR, l’AI Act, il Regolamento Platform2Business, il Regolamento Digital Service Act e Digital Market Act, il Data Act, il Regolamento 2018/1807 relativo alla circolazione dei dati non personali e sono sicuro di essermene dimenticato qualcuno e, volutamente, non ho citato le normative nazionali e gli atti di soft law delle autorità di settore. A queste norme aggiungiamo i regolamenti contrattuali dati dai term of service delle piattaforme.
Tuttavia, la vera chiave di volta per disinnescare la trasformazione della rabbia in asset economico è l’educazione digitale, e ancor prima, l’educazione emotiva. Comprendere le dinamiche del Rage Baiting e imparare a gestire le reazioni emotive online è il primo e più potente strumento di prevenzione. Non farsi travolgere dalla rabbia significa non diventare vittime del meccanismo che alimenta il guadagno di chi diffonde contenuti tossici.
La nostra difesa legale più forte inizia con il nostro autocontrollo.

/da
, , , , , , ,

I Principi di Privacy by Design e Privacy by Default nella Progettazione Strategica dei Software Gestionali

Di Giacomo Conti – Titolare Studio Legale Conti


La crescente richiesta di compliance da parte di numerose Software House

Recentemente, il nostro Studio Legale registra un incremento significativo di richieste di consulenza specifica sulla compliance dei software gestionali, si rende quindi necessaria una sintesi dei ruoli e delle accortezze operative essenziali per strutturare un modello organizzativo GDPR adeguato alle Software House.
La Compliance Aziendale GDPR (General Data Protection Regulation – Regolamento UE 2016/679) relativa allo sviluppo e all’impiego di software gestionali è spesso percepita erroneamente come un mero e gravoso onere burocratico 💸. Questa percezione distorta induce molte Software House (SWH) a trascurare la creazione di processi intrinsecamente conformi ai principi di Privacy by Design e Privacy by Default e a non gestire correttamente i ruoli e le obbligazioni legali scaturenti dal Regolamento.
Tali omissioni, tuttavia, non pongono solo il rischio di incorrere in sanzioni GDPR, ma si riflettono in un chiaro svantaggio economico e competitivo che non è immediatamente percettibile in sede di progettazione e design del software. I clienti più strutturati che operano in contesti altamente regolamentati od alto rischio eviteranno, infatti, di integrare soluzioni software che non forniscano adeguate e dimostrabili tutele in materia di protezione dei dati personali.
Ne consegue che, per essere appetibili a clienti di un certo livello, le Software House devono garantire il rispetto del GDPR per l’intero ciclo di vita del software gestionale, dalla fase di progettazione e sviluppo sino alla sua installazione e messa in esercizio, conformandosi a elevati standard di protezione dei dati personali. Lungi dall’essere eccessivamente onerosi, questi adempimenti rappresentano un vantaggio competitivo strategico, ottenibile con un investimento economico, anche moderato, purché mirato e giuridicamente guidato, con una logica orientata ai processi aziendali.

Il Ruolo di Responsabile del Trattamento per le Software House e le conseguenti responsabilità GDPR

I produttori e gli sviluppatori di software gestionale, nella quasi totalità dei casi, si limitano a fornire al Cliente, il Titolare del Trattamento, un prodotto strumentale alla gestione dei processi organizzativi interni; pertanto la Software House opererà, nella stragrande maggioranza dei casi, come Responsabile del Trattamento o, in taluni casi, come Sub-Responsabile ai sensi dell’Art. 28 GDPR.
Il ruolo di Titolare del Trattamento è limitato, in genere, esclusivamente ai dati personali dei propri clienti, ad esempio per i dati di contatto e identificativi per finalità amministrative e contrattuali.

Il Data Protection Agreement e la Gestione dei Sub-Responsabili
All’interno del quadro sopra tracciato riveste un’importanza dirimente la corretta redazione e negoziazione del Contratto di Nomina a Responsabile del Trattamento, o Data Protection Agreement (DPA) che rappresenterà uno dei più importanti allegati, in uno a quello tecnico relativo ai service level agreemnt (SLA), al contratto di licenza sotware.
Bisogna, però, evitare che questo contratto sia visto come un mero adempimento cartolare. Pertanto, prima di formalizzare il DPA, la Software House deve mappare e registrare gli eventuali ulteriori fornitori (Sub-Responsabili), possibilmente nel ROPA (registro delle attività di trattamento) a cui si appoggia per l’erogazione del servizio (es. Cloud Providers come AWS, Google o Microsoft).
Questa mappatura è essenziale per garantire al Titolare la piena conoscenza della catena di trattamento e il rispetto delle clausole di autorizzazione preventiva o generale imposte dall’Art. 28, par. 2 GDPR.

Il Registro delle Attività di Trattamento del Responsabile di trattamento
Per adempiere a tale obbligo di comprensione e di prova (accountability), è indispensabile che la Software House sviluppi e mantenga un Registro delle Attività di Trattamento che dettagli i trattamenti che essa svolge per conto del Titolare. Nella redazione di questo adempimento, è opportuno che la SWH operi un ulteriore sforzo descrittivo dei propri processi, anche ulteriore rispetto a quanto previsto dall’art. 30 GDPR.

La contrattualizzazoine adeguata della gestione dei Data Breach
Un DPA che offra adeguate garanzie deve prevedere un obbligo contrattuale esplicito per la Software House di comunicare eventuali Data Breach subiti al Titolare con un preavviso notevolmente inferiore alle 72 ore previste dall’Art. 33 GDPR per la notifica all’Autorità, idealmente fissato a 48 ore o meno. Ciò garantisce al Titolare il tempo necessario per valutare l’evento e procedere alla notifica ed è valutato positivamente in sede di scelta del fornitore adeguato.

L’adozione di misure di Organizzazione e Sicurezza adeguate al rischio e al contesto: Software in Cloud vs. Software On-Premise
È ineludibile che le misure di organizzazione e sicurezza debbano essere valutate in relazione al contesto operativo specifico del gestionale.
Le misure di base, comuni a ogni sviluppo, includono l’implementazione documentata dei principi di Privacy by Design e by Default: la valutazione delle funzioni applicative in relazione ai principi di minimizzazione dei dati, la differenziazione dei profili di accesso, l’autenticazione robusta e la protezione logica degli archivi.
Tuttavia, bisogna avere chiaro il contesto del software, posto che se questo è in cloud piuttosto che on presmise, sarà opportuno adottare misure differenti con particolari aspetti ai rischi posti dal contesto specifico.

La Data Protection Impact Assessment (DPIA) fra adempimento ed opportunità
Anche se la finalità del trattamento e la raccolta dei dati restano prerogativa del Cliente/Titolare, la Software House, in qualità di Responsabile, deve dimostrare di comprendere il contesto operativo e il rischio generato dal software sui diritti e sulle libertà degli interessati.
Pertanto, è opportuno e potrebbe anche essere richiesto contrattualmente, che la Software House sia chiamata ad effettuare una valutazione di impatto (DPIA) su uno o più processi operativi.
Sebbene la DPIA sia formalmente un obbligo del Titolare, è prassi che i clienti, in particolare quelli di maggiore dimensione o quelli che trattano dati a rischio elevato, ne richiedano la prova o il supporto esplicito prima di sottoscrivere il contratto. È quindi strategicamente opportuno per la Software House condurre una Valutazione d’Impatto in house relativa al proprio software gestionale. Il Titolare potrà poi integrare questa valutazione con la propria DPIA aziendale, riducendo oneri e tempi.
Per la realizzazione di questo adempimento, gli operatori possono fare riferimento agli schemi e ai template ufficiali forniti da autorità di controllo europee, come la CNIL (Garante francese), che offrono una metodologia consolidata per la gestione del rischio.

Uno strumento utile per facilitare l’implementazione di un modello GDPR adeguato: Il codice di condotta di Assosoftware
Per aiutare le piccole medie imprese nella compliance GDPR, si segnala il Codice di condotta adottato secondo quanto prevede l’art. 40 GDPR per il trattamento dei dati personali effettuato dalle imprese di sviluppo e produzione di software gestionale pubblicato sulla gazzetta ufficiale serie generale del 278 del 27 novembre 2024 e reperibile al seguente link: https://www.assosoftware.it/servizi-offerti/codice-di-condotta/

/da
, , , , ,

La protezione dei minori online: perché il Regolamento ‘Chat Control’ viola la privacy di tutti senza proteggere nessuno

Di Giacomo Conti

La proposta di regolamento per la lotta contro il materiale pedopornografico online, noto come “Chat control” o regolamento CSAM, nasce dal nobile intento di proteggere il benessere dei minori online in una logica di prevenzione delle violenze.
Ma è davvero oro tutto ciò che luccica? Come si suol dire, la via dell’inferno è lastricata di buone intenzioni.

Si legge, nella proposta di regolamento, la necessità di prevenire determinati comportamenti online particolarmente lesivi della sfera sessuale dei minori; nella specie il grooming.

L’art. 7 della proposta di regolamento prevede la facoltà di emettere un ordine di rilevazione che impone a un prestatore di servizi di hosting o a un prestatore di servizi di comunicazione interpersonale rientrante nella giurisdizione dello Stato membro in questione di prendere le misure per rilevare casi di abuso sessuale su minori online in un servizio specifico. L’art. 10 della proposta prevede, inoltre, l’implementazione di pattern rivelatori di diffusione di materiale pedopornografico noto o nuovo o di adescamento di minori, a seconda dei casi.
Nonostante la proposta indichi un generico riferimento alla tutela della riservatezza delle comunicazioni e dei dati personali, il regolamento vuole introdurre, senza ombra di dubbio, la scansione di massa delle comunicazioni private, incluse le conversazioni crittografate.

Una proposta simile ha sollevato le perplessità di molti giuristi ed esperti di settore. In particolare, la l’European Data Protectoin Board, la massima autorità in materia di privacy e protezione del dato, ha espresso una sua opinion sul punto.
In particolare, l’EDPB ha rilevato che questa proposta di regolamento arriva ad incidere sul diritto alla riservatezza delle comunicazioni sancito e sul diritto fondamentale alla protezione dei dati personali, riconosciuti rispettivamente dall’art. 7 ed 8 CEDU. Diritti che, peraltro, fanno parte delle tradizioni costituzionali comuni agli Stati membri.

L’EDPB ha sollevato, inoltre, significative perplessità sull’efficacia delle misure tecnologiche che il regolamento vorrebbe introdurre per contrastare il fenomeno del grooming. In particolare, il Comitato rileva che, al momento, non sembra sussistere alcuna soluzione tecnologica in grado di rilevare il materiale pedopornografico condiviso in forma cifrata. Inoltre, l’EDPB ha constatato che le tecnologie attualmente disponibili, in particolare quelle per la rilevazione di materiale pedopornografico nuovo o del grooming, presentano tassi di errore relativamente elevati. Soprattutto se queste tecnologie vedono implementate soluzioni basate sull’intelligenza artificiale. Pertanto, le misure di rilevazione previste dalla proposta potrebbero avere un impatto inferiore, o anche inutile, rispetto a quello auspicato sulla diffusione di materiale pedopornografico su internet.
L’EDPB ritiene, più specificatamente, che l’ingerenza creata dalle misure per la rilevazione dell’adescamento di minori vada oltre quanto strettamente necessario e proporzionato per garantire un adeguato contemperamento delle esigenze di tutela dei diritti alla riservatezza della corrispondenza e alla protezione dei dati personali.

La Presidenza Danese, con un approccio meno diplomatico di quello dell’EDPB, ha posto degli interrogativi essenziali e più diretti alle problematiche sollevate dalla proposta.
In particolare, l’Istituzione ha rilevato che l’indebolimento obbligatorio della crittografia end-to-end creerebbe falle di sicurezza sfruttabili da criminali informatici, stati rivali e organizzazioni terroristiche, danneggiando inoltre la competitività della nostra economia digitale.
Inoltre, l’approccio tecnico proposto si basa su strumenti di analisi automatica dei contenuti che producono un’alta percentuale di falsi positivi, creando il rischio che utenti innocenti possano essere incriminati ingiustamente, mentre l’efficacia di questo approccio nella protezione dei bambini non è stata dimostrata.

Ripropongo, senza aggiungere altro, i legittimi interrogativi che ha posto la Presidenza Danese:
“Considerando la scansione obbligatoria di tutte le comunicazioni private, il regolamento proposto è compatibile con l’articolo 7 della Carta dei diritti fondamentali?
Come garantirà che la protezione dei minori sia raggiunta attraverso misure mirate e dimostrate efficaci, senza violare i diritti fondamentali di tutti i cittadini?
Come intende prevenire l’impatto negativo sulla cybersicurezza e sulla competitività economica causato dall’indebolimento della crittografia?”

La questione pone problemi non solo giuridici, ma anche filosofici di base su cui è bene interrogarci prima di pensare di introdurre riforme di un simile impatto.
Ritengo, in primo luogo, erroneo porre in termini di binomio il rapporto fra sicurezza e libertà che sono concetti non assoluti.
La libertà si esprime in un contesto: posso essere libero di compiere o non compiere determinate azioni o da una certa ingerenza che può essere privata o pubblica. Ugualmente e di pari passo, il concetto di sicurezza, come sanno bene gli informatici, non è un concetto assoluto, ma relativo. Posso essere sicuro solo da qualcosa. Nell’illuminante lettura del libro di Cesare Gallotti sulla sicurezza dell’informazioni, mi colpì il riferimento alla sicurezza di Fort Knox, il luogo dove è conservata la riserva aurea degli Stati Uniti considerato, forse giustamente uno dei luoghi più sicuri al mondo. Nello specifico, Fort Knox di fronte a un molto improbabile pioggia meteoritica o attacco alieno sarebbe un luogo decisamente vulnerabile.
Bisogna, infatti, partire dall’assunto che senza libertà non possa esserci sicurezza e viceversa. Sorge, pertanto, spontaneo chiedersi di quale libertà potrà mai godere un individuo non sicuro e quale sicurezza potrebbe avere un individuo non libero. Un poco come il mito della caverna di Platone, la libertà e la sicurezza dovrebbero derivare da una maggiore comprensione del mondo che ci circonda.
Sembra, pertanto, inimmaginabile che l’Unione Europea, patria del GDPR, abbia potuto partorire un simile obbrobrio giuridico che neanche una dittatura distopica si sognerebbe di proporre.
Queste considerazioni, mi hanno rinfrescato ricordi di storia e, in particolare, la massima di Wiston Churchill elaborata a Chamberlain e ai sostenitori delle politiche di appeasement verso Hitler e i Nazionalsocialisti: “Potevano scegliere fra il disonore e la guerra. Hanno scelto il disonore e avranno la guerra”
Nel caso concreto, applicando questa massima alla democraticissima Unione Europea, mi viene da parafrasare W. Churchill in questi termini: “Potrebbero scegliere fra la libertà e la sicurezza. Sceglieranno la sicurezza, non avranno sicurezza e perderanno la libertà.”

A dispetto del dichiarato progresso, la mia personale opinione è che stiamo regredendo al futuro tracciando scenari inimmaginabili neanche nei più tetri romanzi distopici.

Per il testo della proposta di regolamento, v. il sito istituzionale in https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:52022PC0209
Per il parere dell’European Data Protection Board scarica il contenuto dal sito ufficiale in https://www.edpb.europa.eu/system/files/2023-02/edpb_edps_jointopinion_202204_csam_it.pdf
Per i quesiti posti dalla presidenza danese v. https://www.europarl.europa.eu/doceo/document/E-10-2025-003250_EN.html

Per il riferimento letterario v.: https://trbooks.de/regIT.php?id=Sicurezza%20delle%20informazioni:%20valutazione%20del%20rischio;%20i%20sistemi%20di%20gestione%20per%20la%20sicurezza%20delle%20informazioni;%20la%20norma%20ISO/IEC%2027001-0244153019

/da
, , , ,

È dovuto il compenso all’agente immobiliare anche se l’affare viene concluso fra soggetti diversi?

È dovuto il compenso all’agente immobiliare anche se l’affare viene concluso fra soggetti diversi?

di Giacomo Conti

 

La Cassazione, con la recente CASS. CIV., SEZ. II, ORD., 20 GIUGNO 2024, N. 16973, ha ribadito che l’agente immobiliare, o mediatore in gergo tecnico ai sensi dell’art. 1754 Cod. Civ., ha diritto alla provvigione se l’affare è stato concluso per effetto della sua attività anche fra soggetti diversi da quelli che ha messo inizialmente in contatto.

La Corte ha statuito che il compenso del mediatore è fatto salvo anche nel caso in cui mutino i soggetti della trattativa, purché vi sia un legame fra i due.

La Cassazione ha precisato che questo legame non deve necessariamente di rappresentanza ma che è bastevole la sola continuità operativa tra la parte che in origine ha dato l’incarico e quella che successivamente ha concluso l’affare.

Nel caso affrontato dalla Suprema Corte, una società, tramite il suo rappresentante, conferiva ad un’altra l’incarico di adoperarsi per la vendita di un immobile di sua proprietà, ma la proposta di acquisto che tuttavia viene rifiutata dalla società venditrice per poi essere concluso da un soggetto diverso.

Nulla di strano, se non che la società venditrice cedeva il proprio patrimonio a questa società di nuova costituzione che era collegata all’aspirante acquirente poiché suo cognato era stato nominato amministratore di questa.

La società di mediazione, pertanto, richiedeva in giudizio la corresponsione della provvigione richiesta vista la conclusione dell’affare.

La Corte di cassazione rilevava che, nel caso concreto, sussisteva una continuità tra il soggetto che aveva partecipato alle trattative e quello stipulante e dava atto del rapporto di causalità tra l’opera del mediatore e la conclusione dell’affare che assumeva rilevanza anche nell’affare pur concluso da un soggetto terzo.

In particolare, nel provvedimento veniva messo in luce come grazie all’attività del mediatore fosse stato possibile operare la cessione immobiliare con un conseguente risparmio fiscale.

Il compenso del mediatore è, quindi, dovuto anche se non ho dato l’incarico al mediatore?

Secondo la Cassazione, anche se l’affare viene concluso da soggetti diversi da quelli originariamente coinvolti nelle trattative, il mediatore ha comunque diritto alla provvigione, purché vi sia un nesso tra la sua attività e la conclusione dell’affare come nel caso esaminato.

Il compenso al mediatore è dovuto anche se l’affare si è concluso con atti diversi e ulteriori rispetto al mandato?

Non è importante se l’affare si conclude con un unico atto o con una serie di atti collegati, il mediatore ha diritto alla provvigione se il suo intervento ha contribuito in modo determinante alla sua conclusione dell’affare.

 

 

In allegato estratto dell’ordinanza in BLIND: Estratto Ordinanza 16973.24 BLIND

 

/da
, , , , , , ,

Lastrico solare e ripostiglio: condominiali o di proprietà esclusiva del condomino all’ultimo piano? La Corte di Appello di Milano fa chiarezza

Continua a leggere
/da
, , , , , , , ,

Il regime di responsabilità di Google per contenuti di terze parti nella giurisprudenza del Consiglio di Stato

di Giacomo Conti

 

Il Consiglio di Stato, con la recente pronuncia 04277.2024 ha escluso l’applicabilità della Direttiva sul Commercio elettronico per l’intermediario digitale, ritenendo non giustificato il principio speciale di esenzione da responsabilità per contenuti di parti terzi per l’intermediario digitale.

La vicenda in esame nasce da una sanzione dell’AGCOM attraverso la quale BigG è stato sanzionato per violazione dell’art. 9 del Decreto Dignità che impone il “Divieto di pubblicità giochi e scommesse”.

L’attività istruttoria operata dall’Autorità Garante ha messo in luce come digitando le parole chiave “Casinò online” si poteva raggiungere, dalla pagina dei risultati di ricerca Google Web Search,  il link al sito http://sublime-casino.com : sito che conteneva una réclame del gioco d’azzardo attraverso inviti del seguente tenore: “Unisciti Ora Al Nuovissimo Casinò Online Italiano. Gioca Subito A Oltre 400 Giochi  Iscriviti Ora E Registrati In Meno Di 30 Secondi! Nessun download. Sicuro e Protetto“. A sua volta, il sito dell’inserzionista rivinava ad ulteriori link per siti web che consentivano agli utenti di giocare a pagamento online.

Google, nell’ambito delle proprie difese, eccepiva la totale estraneità della propria attività rispetto alla pubblicazione di annunci dei propri utenti commerciali sulla propria piattaforma, la liceità dell’annuncio e il rispetto del decreto dignità in quanto l’annuncio non consentiva di effettuare gioco d’azzardo direttamente.

Disattendendo le eccezioni di Google e riformando in parte la pronuncia del TAR di primo grado, il Consiglio di Stato ha messo in luce come Google non rientrerebbe nel perimetro soggettivo di applicazione dell’hosting provider ai sensi della Direttiva del commercio elettronico.

L’istruttoria operata dal Collegio ha messo in luce come il servizio Google Web Search fornito dalla società consente agli utenti di ricercare su internet contenuti pubblicati da terze parti, mentre il servizio Google Ads, tramite il quale è stato pubblicato l’annuncio di contestazione, è un servizio di posizionamento pubblicitario online che consente agli operatori economici di pubblicare “link sponsorizzati verso determinati siti di destinazione” associati a determinate parole o chiavi di ricerca. È stato evidenziato come sia proprio l’attività Google a rendere maggiormente visibili questi risultati rispetto ad altri all’utenza. In particolare, il Consiglio di Stato ha precisato che l’attività di promozione commerciale svolta da Google sia confermata dalla circostanza per cui gli inserzionisti pagano la piattaforma per il servizio in modo proporzionale rispetto alle effettive visualizzazioni che il messaggio pubblicitario riceve.

Posto che Google realizza un controllo sui contenuti presenti all’interno del proprio servizio nell’ottica di consentire ai propri clienti di “ottimizzare le loro vendite online” promuovendoli sul mercato e avendo al riguardo un proprio interesse economico alla buona riuscita di tale promozione Google, non può sicuramente ritenersi un intermediario passivo.

Pertanto, l’attività realizzata da Google esclude che questo possa essere hosting provider passivo, dal momento che la società svolge un servizio di indicizzazione e promozione professionale di contenuti di terze parti. La conseguenza naturale è che Google non rimane neutrale in relazione ai contenuti indicizzati e pubblicati nella propria piattaforma.

In ragione di queste argomentazioni, il Consiglio di Stato ha ritenuto integrati i presupposti richiesti dalla giurisprudenza europea e nazionale per poter qualificare un operatore quale hosting provider attivo, con conseguente esenzione dell’applicazione del regime di responsabilità speciale di safe harbor per gli hosting provider disciplinato dalla direttiva sul commercio elettronico.

 

Per maggiori approfondimenti, v. il testo integrale del provvedimento CdS Google

/da
, , , , , , , , ,

LA SANZIONE DELL’AGCM A TIKTOK PER IL CASO FRENCH SCAR. ACCOUNTABILITY E GESTIONE DEI CONTENUTI PERICOLOSI.

Di Giacomo Conti

Con provvedimento in data 05 marzo 2024, l’Autorità Garante della Concorrenza e del Mercato ha comminato a TikTok Information Technologies UK Limited una sanzione amministrativa pecuniaria di 10.000.000 € (diecimilioni di euro) per inadeguata vigilanza sui contenuti pubblicati dagli utenti.

La decisione dell’autorità si pone nel solco di un filone interpretativo che mira a responsabilizzare le piattaforme per la gestione dei contenuti e che individua una vera e propria responsabilità per mancata gestione del rischio laddove i contenuti condivisi all’interno del servizio possano porre dei rischi per i diritti degli utenti. Merita menzione sul punto il precedente caso AGCM contro TripAdvisor dove la piattaforma di recensioni era stata sanzionata per Mezzo Milione di Euro per non avere vigilato sulle false recensioni all’interno della piattaforma la cui presenza avrebbe provocato danni ad albergatori e ristoratori (https://www.agcm.it/media/comunicati-stampa/2014/12/alias-7365 ).

Nel caso in esame, l’autorità di vigilanza ha rilevato all’interno della piattaforma TikTok, da un lato, la presenza di contenuti suscettibili di minacciare la sicurezza psico-fisica degli utenti, quali quelli relativi alla challenge c.d. “cicatrice francese” (“french scar”); e, dall’altro, l’inadeguatezza delle azioni realizzate dal social per evitarne la diffusione. In particolare, è stato accertato che questi contenuti pericolosi venivano addirittura proposti reiteratamente agli utenti attraverso ‘sistemi di raccomandazione’ suscettibili di condizionare le scelte dei consumatori, nella specie di quelli vulnerabili.

In particolare, i contenuti vengono proposti sulla base di un sistema di profilazione algoritmica che individua e seleziona contenuti personalizzati in base a una combinazione di fattori volti a cogliere le preferenze e gli interessi del singolo attraverso le interazioni con gli altri utenti dove vengono inseriti like, quali video sono condivisi, commenti inseriti, tempo speso a vedere un vide,;  le caratteristiche del video come didascalie, hashtag, suoni, paese; nonché le informazioni sull’utente come le impostazioni del dispositivo, dell’account o la lingua selezionata. Inoltre, è integrato un sistema di consultazione basato sui feed “Seguiti”, dove sono rinvenibili i video pubblicati dagli utenti di cui l’utente è diventato “follower”.

L’AGCM ha, peraltro, messo bene in evidenza come il sistema di ricerca attiva dei contenuti operi solo in via residuale a maggiore evidenza di come gli utenti siano esposti ai contenuti proposti dalla piattaforma. In particolare, le risultanze istruttorie hanno dimostrato che adolescenti vulnerabili sono esposti con una frequenza maggiore a contenuti pregiudizievoli a causa del sistema di raccomandazione di TikTok in ragione della profilazione operata dalla piattaforma.

Inoltre, l’Authority ha messo in luce come l’aumento dell’attività degli utenti sulla piattaforma amplifica la redditività degli spazi pubblicitari perché il maggior utilizzo di TikTok fornisce al sistema di raccomandazione algoritmico più informazioni sulle preferenze degli utenti. Questo a maggiore dimostrazione dell’interesse della piattaforma a proporre contenuti potenzialmente perché di potenziale interesse dell’utente pure se dannosi per la salute fisica e mentale di questi.

Anche in questo caso, come accaduto in precedenza con la sanzione a TripAdvisor (v. https://www.agcm.it/media/comunicati-stampa/2014/12/alias-7365 ), l’AGCM ha ribadito l’esistenza di un vero e proprio obbligo per la piattaforma di gestire questi contenuti.

Dagli accertamenti, inoltre, è stata dimostrata l’inadeguatezza dei sistemi di moderazione dei contenuti, automatizzati e gestiti dalle risorse umane di TikTok posto che è emerso che la maggior parte dei video rimossi da TikTok riguarda le categorie che le Parti hanno definito “sicurezza dei minori”, “contenuti violenti espliciti”, “nudità e attività illegali”, mentre solo il 5% delle rimozioni ha riguardato “atti e sfide pericolose”. Nonostante l’attività umana di moderazione sia particolarmente rilevante per contenuti la cui inadeguatezza risulta meno immediata, dagli atti risulta che i componenti del “Team di moderatori” sono selezionati secondo requisiti generici come l’“attenzione alle problematiche sociale”, la familiarità con le leggi e normative relative a internet e la capacità di lavorare su turni diversi. Inoltre, è stato documentato che i moderatori vengono formati tramite corsi interni sull’applicazione delle Linee Guida che, per quanto in atti, appaiono incentrati più sui contenuti violenti, illegali, o a contenuto sessuale che non su challenge e atti pericolosi per i minori

Nella propria valutazione, pertanto, l’autorità ha ritenuto che la piattaforma avesse violato gli obblighi di diligente applicazione delle proprie Linee Guida comunicate agli utenti, condizionato indebitamente degli utenti attraverso la riproposizione di contenuti che sfruttano la vulnerabilità di alcuni gruppi di consumatori; predisposto inadeguate misure di controllo e vigilanza adottate da TikTok sui contenuti pubblicati dagli utenti, con particolare riferimento alla tutela dei soggetti minori e vulnerabili e, da ultimo, diffuso contenuti in grado di minacciare la sicurezza psico-fisica di bambini ed adolescenti.

Per queste ragioni è stata, pertanto, emessa una sanzione per pratica commerciale scorretta ai sensi degli articoli 20, comma 2 e 3, 21, comma 2 lettera b), 21, comma 4, 25, comma 1, lettera c) del Codice del consumo in quanto contraria alla diligenza professionale e idonea riconoscendo una vera e propria responsabilità per inadeguata vigilanza sui contenuti pubblicati dagli utenti.

 

 

Per maggiori informazioni si rinvia al testo integrale del provvedimento reperibile in https://www.agcm.it/media/comunicati-stampa/2024/3/PS12543-

/da