«TU» nella rete 2.0: rileggiamo il codice privacy, responsabilizziamo gli utenti

In questo contesto si introduce il principio di "accountability" (responsabilità verificabile), riferibile anche all'utente del web 2.0, quale motore di attuazione di una protezione dei dati reale ed efficace. Logica vuole che questo principio imporrebbe anche di identificare gli utenti, se necessario.

La funzione deterrente, che si auspicherebbe ottenere tramite un'informativa di rischio chiara, esaustiva e completa, è spesso in conflitto con la realtà dei fatti e con l'aperta intenzione di compiere l'illecito: uno scenario interessante (di cui parla anche Franco Bernabè nel suo ultimo libro "Libertà vigilata", Laterza, 2012) e che potrebbe in futuro "mettere d'accordo" Governi, compagnie di telecomunicazione e persino gli "over the top", tra cui appunto gli ISSP (motori di ricerca, social network, ecc.), sarebbe quello dell'anonimato protetto degli utenti: questi avrebbero l'obbligo di farsi identificare ufficialmente da "gestori delle identità on line" prima di poter utilizzare, anche con pseudonimo, servizi web 2.0 e di generazione di contenuti. In sostanza, si passerebbe dall'idea – sbagliata – di controllare gli "oggetti" (setacciando i contenuti) a quella – più ragionevole – di identificare i "soggetti" agenti, senza filtri o censure a priori.

E' comunque indispensabile rendere effettivi i principi di protezione dei dati già esistenti, assicurandone la reale compatibilità, in termini di impatto giuridico, sociale ed economico, con quelli che sono gli equilibri tipici del nuovo contesto tecnologico. Non va dimenticato che la nostra disciplina e-commerce (contenuta nel D.lgs. 70/2003 in recepimento della Direttiva 2000/31/CE), prevede specifici obblighi di cooperazione ma esclude obblighi sorveglianza preventiva da parte degli ISSP.

Tuttavia, la disciplina del D.Lgs. 70/2003 è formalmente autonoma rispetto a quella ex D.lgs. 196/2003 (Codice privacy), e quest'ultimo pare prevalere sugli esoneri da responsabilità degli ISSP previsti nella disciplina e-commerce.

Nel Codice privacy italiano esiste una norma penale di illecito trattamento di dati personali (art. 167 D.lgs. 196/2003): in nome della tutela della privacy, la richiesta di controlli ex ante, preventivi ed indiscriminati sugli utenti da parte degli ISSP (teoricamente possibile e anzi obbligatoria se l'art. 167 venisse interpretato e applicato in modo letterale e rigido) finirebbe per ricadere, violandoli, sugli stessi principi basilari in materia di commercio elettronico che, al contrario, sanciscono l'assenza di obblighi di monitoraggio e sorveglianza da parte degli ISSP sui contenuti pubblicati dagli utenti.

Una forzatura interpretativa porterebbe a una sorta di responsabilità "oggettiva" da parte degli ISSP per il trattamento dei dati connessi ai contenuti pubblicati dagli utenti. Sulla base dell'analisi dei casi, una simile applicazione dell'art. 167 andrebbe a contrastare con altri diritti soggettivi e principi sanciti a livello costituzionale e dei trattati UE (rispetto della vita privata e della vita familiare, libertà di espressione e d'informazione), ma cosa ancora più grave, il perseguimento della tutela della privacy andrebbe, paradossalmente, a violare la privacy stessa degli individui che si intendeva preservare.

Il 25 gennaio 2012, a Bruxelles, la Commissione europea ha proposto una riforma globale della normativa privacy UE presentando una bozza di proposta di Regolamento, ora in discussione presso Parlamento UE e Consiglio. In tale proposta, si fa strada finalmente l'idea che non si possa continuare a sostenere una responsabilità oggettiva dei provider di servizi della società dell'informazione, con riferimento al trattamento dei dati personali: si subordina l'applicabilità del nuovo Regolamento proprio alle esclusioni di responsabilità degli intermediari previste nella Direttiva 2000/31/CE sul commercio elettronico, ribaltando gli equilibri.

E' evidente che lo spirito di tale innovazione, se e quando verrà definitivamente approvata, sarà da rintracciare nella reinterpretazione dei massimi principi di diritto, come contenuti nella Carta dei Diritti Fondamentali dell'Unione Europea (in particolare, agli articoli 7 e 8). Di questa prospettiva anche l'Italia – il Parlamento ma già oggi i giudici chiamati ad applicare il diritto - dovrà tenere conto, se non modificando, di certo, almeno, reinterpretando il significato e la portata della norma penale in materia di violazioni privacy. In questo contesto magmatico e in evoluzione, resta il ruolo centrale svolto dall'utente: l'insistenza sulla titolarità attribuibile all'utente quando diffonde dati personali di altri utenti non vuole essere un escamotage per deresponsabilizzare altre figure di riferimento, vuole invece rappresentare un'opportunità positiva per gli users di libera scelta e tutela diretta dei propri e altrui dati personali. Senza censure, ma, soprattutto, senza invasioni nella loro privacy con la scusa di tutelare la privacy dei terzi.

* Luca Bolognini, avvocato, Presidente Istituto Italiano per la Privacy

©RIPRODUZIONE RISERVATA