Oggi è stata depositata la sentenza del caso Google-Vivi Down e, non appena avuta la notizia, mi sono precipitato a leggerne la motivazione.
Una lettura interessante da un lato e un po' deludente dall'altro.
Interessante la ricostruzione dei fatti, con tanto di ampi stralci dei verbali delle indagini di Polizia Giudiziaria e delle testimonianza.
Interessante la ricostruzione dei fatti, con tanto di ampi stralci dei verbali delle indagini di Polizia Giudiziaria e delle testimonianza.
Un po' deludente (per lo meno a mio parere) la parte di motivazione vera e propria: molti aspetti sono solo accennati e - anche se confesso di aver letto solo sommariamente le 111 pagine (!) della sentenza - fatico a cogliere il punto in termini concettuali, specie in termini di nesso tra la mancanza dell0 informativa (all'utente?) e accettazione del rischio di violazione dei diritti (dell' "interessato").
Una frase come quella che segue "Esiste quindi, a parere di chi scrive, un obbligo NON di controllo preventivo dei dati immessi nel sistema, ma di corretta e puntuale informazione, da parte di chi accetti ed apprenda dati provenienti da terzi, ai terzi che questi dati consegnano" fatico a collocarla sia nel contesto del d.Lgs.70/03 che nel contesto della normativa sulla data protection.
Lascerei per ora la parola agli esperti.
Molto istruttiva è, peraltro, la parte di ricostruzione del fatto relativa in particolare alla verifica della compliance di Google Italy S.r.l. rispetto alle normative italiane (pag.46 e s.s.).
Istruttivo: la policy pare fosse, nelle giurisdizioni extra USA, quella di non rimuovere contenuti diffamatori senza ordine di un giudice (o salvo che un avvocato non dimostrasse loro che non vi era spazio per difendere il contenuto contestato) e che di fatto nessuno o quasi degli avvocati italiani abbia mai avuto neppure risposta ai numerosi reclami presentati negli anni ...
E stando alla ricostruzione del Giudice, non si tratterebbe di incidenti o casi isolati, ma di un atteggiamento che - almeno fino a tutto il 2006 - sarebbe stato di totale disinteresse rispetto alla normativa italiana.
Bello. Ma piu' bella è stata la risposta che sarebbe stata data dal responsabile legale per l'Europa ad una richiesta di Google Italy, priva di supporto legale interno, di rivedere le policy interne in materia di privacy alla luce della normativa italiana: "siamo al corrente della vigente legislazione .... e 'siamo al top' su questo tema" ........
Aggiornamento del 14 aprile 2010.
E' sempre istruttivo poter osservare come si comporta una grande società nell'entrare in un nuovo mercato, specie quando questo mercato si trova in un piccolo paese molto lontano.
Tuttavia, discutendo di rispetto di normative, il primo punto da porsi è - ovviamente - quello dell'applicabilità di tali normative.
E questa mattina mi trovo questo commento di Bruno Saetta:
Tenuto conto che l'utente si collega direttamente alle infrastruttura di Google Inc (Google Italy agisce da interfaccia prevalentemente nella raccolta della pubblicità) non possiamo dire che neppure la raccolta dei dati avvenga in Italia.
E allora che c'entra l'informativa? Nulla, specie se quella che si imputa non è l'informativa all'interessato (prevista dalla legge, ove applicabile) ma l'informativa al soggetto che ha raccolto i dati (oggettivamente non prevista in alcuna norma ...).
Inapplicabile la legge sulla 'data protection' (continuo ad essere piuttosto allergico a chiamarla normativa sulla privacy), vincolata ad un principio espresso di territorialità, la condotta di diffusione dei dati nel territorio della Repubblica non è priva di rilevanza, ma va valutata alla luce dei principi di divieto dell'obbligo generale di sorveglianza e delle limitazioni di responsabilità degli internet service providers di cui agli art.14 e seguenti del D.Lgs.70/2003.
Si potrebbe, a mio avviso approfondire la questione dell'applicabilità a Google Video delle normative di cui sopra. Proprio la recente sentenza 23 marzo 2010 della Corte Europea di Giustizia (cfr. in particolare il punto 118) non ha affatto riconosciuto a Google lo status di intermediario 'neutro' ai fini dell'applicazione della disciplina di esenzione di responsabilità prevista dalle norme europee sul commercio elettronico (delle quali in D.Lgs.70/2003 costituisce attuazione) rinviando al giudice nazionale l'esame relativo e in particolare indicando specificamente il tema dell'indagine ("è invece rilevante il ruolo svolto dalla Google nella redazione del messaggio commerciale che accompagna il link pubblicitario o nella determinazione o selezione di tali parole chiave").
Una frase come quella che segue "Esiste quindi, a parere di chi scrive, un obbligo NON di controllo preventivo dei dati immessi nel sistema, ma di corretta e puntuale informazione, da parte di chi accetti ed apprenda dati provenienti da terzi, ai terzi che questi dati consegnano" fatico a collocarla sia nel contesto del d.Lgs.70/03 che nel contesto della normativa sulla data protection.
Lascerei per ora la parola agli esperti.
Molto istruttiva è, peraltro, la parte di ricostruzione del fatto relativa in particolare alla verifica della compliance di Google Italy S.r.l. rispetto alle normative italiane (pag.46 e s.s.).
Istruttivo: la policy pare fosse, nelle giurisdizioni extra USA, quella di non rimuovere contenuti diffamatori senza ordine di un giudice (o salvo che un avvocato non dimostrasse loro che non vi era spazio per difendere il contenuto contestato) e che di fatto nessuno o quasi degli avvocati italiani abbia mai avuto neppure risposta ai numerosi reclami presentati negli anni ...
E stando alla ricostruzione del Giudice, non si tratterebbe di incidenti o casi isolati, ma di un atteggiamento che - almeno fino a tutto il 2006 - sarebbe stato di totale disinteresse rispetto alla normativa italiana.
Bello. Ma piu' bella è stata la risposta che sarebbe stata data dal responsabile legale per l'Europa ad una richiesta di Google Italy, priva di supporto legale interno, di rivedere le policy interne in materia di privacy alla luce della normativa italiana: "siamo al corrente della vigente legislazione .... e 'siamo al top' su questo tema" ........
Aggiornamento del 14 aprile 2010.
E' sempre istruttivo poter osservare come si comporta una grande società nell'entrare in un nuovo mercato, specie quando questo mercato si trova in un piccolo paese molto lontano.
Tuttavia, discutendo di rispetto di normative, il primo punto da porsi è - ovviamente - quello dell'applicabilità di tali normative.
E questa mattina mi trovo questo commento di Bruno Saetta:
"Comunque ..., la condanna è per violazione dell'art. 167 c. privacy, che prevede una pena per chi tratta dati sensibili in assenza di consenso.Certo che il trattamento è avvenuto negli USA: finalità e modalità del trattamento sono decise negli USA, le infrastrutture sono negli stati Uniti e persino i reclami ricevuti da Google Italy sono gestiti da là. Gli stessi imputati sono innanzitutto dipendenti di società straniere del gruppo Google e designati esponenti di Google Italy proprio in virtù di tale loro veste.
In realtà Google Italia (i 3 sono dirigenti di G Italia) non tratta alcunché, casomai è G Inc a trattare, e la stessa polizia postale ammette (13/11/06) che il contenuto era all'estero, negli USA. Ma il giudice dice che comunque ci sarebbe stato un trattamento a Milano.
La normativa privacy si applica anche a trattamenti avvenuti all'estero, se l'azienda ha una sede in Italia (per il giudice G Italia è collegata a G Inc) e degli strumenti in Italia, "salvo che essi siano utilizzati solo ai fini di transito nel territorio dell'Unione Europea". Che poi è il caso specifico, cioè i dati transitano verso gli Usa dove vengono trattati. Nello specifico il trattamento consiste nella conservazione del video per 2 mesi, ma il trattamento è avvenuto negli USA."
Tenuto conto che l'utente si collega direttamente alle infrastruttura di Google Inc (Google Italy agisce da interfaccia prevalentemente nella raccolta della pubblicità) non possiamo dire che neppure la raccolta dei dati avvenga in Italia.
E allora che c'entra l'informativa? Nulla, specie se quella che si imputa non è l'informativa all'interessato (prevista dalla legge, ove applicabile) ma l'informativa al soggetto che ha raccolto i dati (oggettivamente non prevista in alcuna norma ...).
Inapplicabile la legge sulla 'data protection' (continuo ad essere piuttosto allergico a chiamarla normativa sulla privacy), vincolata ad un principio espresso di territorialità, la condotta di diffusione dei dati nel territorio della Repubblica non è priva di rilevanza, ma va valutata alla luce dei principi di divieto dell'obbligo generale di sorveglianza e delle limitazioni di responsabilità degli internet service providers di cui agli art.14 e seguenti del D.Lgs.70/2003.
Si potrebbe, a mio avviso approfondire la questione dell'applicabilità a Google Video delle normative di cui sopra. Proprio la recente sentenza 23 marzo 2010 della Corte Europea di Giustizia (cfr. in particolare il punto 118) non ha affatto riconosciuto a Google lo status di intermediario 'neutro' ai fini dell'applicazione della disciplina di esenzione di responsabilità prevista dalle norme europee sul commercio elettronico (delle quali in D.Lgs.70/2003 costituisce attuazione) rinviando al giudice nazionale l'esame relativo e in particolare indicando specificamente il tema dell'indagine ("è invece rilevante il ruolo svolto dalla Google nella redazione del messaggio commerciale che accompagna il link pubblicitario o nella determinazione o selezione di tali parole chiave").
2 commenti:
Trovo varie contraddizioni nella sentenza. Riassumendo il giudice dice che non esiste un obbligo di controllo dei contenuti (ma solo perchè è inesigibile) anche se G. Video non è un intermediario ma un hoster attivo (!!). In sostanza G. legge i contenuti e li comprende, quindi ne diviene dominus, e ciò lo si ricava da Adwords che consente a G di mettere al fianco di un contenuto una pubblicità in tema.
Comunque al di là di questa notazione, la condanna è per violazione dell'art. 167 c. privacy, che prevede una pena per chi tratta dati sensibili in assenza di consenso.
In realtà Google Italia (i 3 sono dirigenti di G Italia) non tratta alcunchè, casomai è G Inc a trattare, e la stessa polizia postale ammette (13/11/06) che il contenuto era all'estero, negli USA. Ma il giudice dice che comunque ci sarebbe stato un trattamento a Milano.
La normativa privacy si applica anche a trattamenti avvenuti all'estero, se l'azienda ha una sede in Italia (per il giudice G Italia è collegata a G Inc) e degli strumenti in Italia, "salvo che essi siano utilizzati solo ai fini di transito nel territorio dell'Unione Europea". Che poi è il caso specifico, cioè i dati transitano verso gli USa dove vengono trattati. Nello specifico il trattamento consiste nella conservazione del video per 2 mesi, ma il trattamento è avvenuto negli USA.
Vi è un altro dubbio quando si ricava il dolo (che per il reato in questione deve essere specifico e non generico) dalla semplice consapevolezza dell'esistenza di tali dati. Cioè, poichè Adwords fa quei collegamenti tra i dati, G sarebbe a conoscenza dei dati e quindi ne sorge il dolo. Mi sembra un po' poco.
Un ultima annotazione, la policy di G. negli stati non-USA è corretta, almeno nella UE la normativa prevede l'obbligo di rimozione dei contenuti illeciti solo in conseguenza della comunicazione qualificata da parte dell'autorità giudiziaria od amministrativa (polizia) e non da parte di terzi.
Purtroppo in Europa si sta lentamente modificando questo punto, facendo passare l'idea che basta una semplice comunicazione della parte lesa (o addirittura di un terzo) per far sorgere una responsabilità in capo all'intermediario per non aver rimosso il contenuto (forse per dare maggiori poteri di pressione ai produttori, alle major ecc....).
E sicuramente non sorge alcun obbligo in presenza di meri commenti ai video, poichè quelli sono comunicazioni dirette all'autore del video, non certo all'intermediario.
Dalle carte del processo risulta che la polizia postale inviò un mero invito a considerare la rimozione del video (non un ordine quindi) e nelle 24 ore successive il video fu rimosso.
Non dimentichiamo che il problema sorge dal fatto che la direttiva europea sul commercio elettronico (a differenza dell'analoga norma USA) non regolamenta la notification, lasciando una ampia discrezionalità ai provider, che però si traduce nell'impossibilità di essere certi di aver agito secondo legge, col rischio di vedersi citati in giudizio.
@Bruno:
grazie del commento.
Quanto alla tua osservazione sull'applicabilità del d.Lgs.196/03 credo tu abbia centrato il punto. Chapeau.
Non sono invece del tutto d'accordo sulla tua osservazione in tema di policy, in quanto (cfr art.17.3 d.lgs.70/03) sono presupposti della responsabilità (civile, peraltro) sia i privvedimenti dell'autorità che le notizie altrimenti ricevute.
Posta un commento