Source: http://www.privacy.it/archivio/garantesanz20080228.html
Timestamp: 2019-01-18 13:18:53+00:00
Document Index: 147382433

Matched Legal Cases: ['art. 132', 'sentenza ', 'art. 6', 'art. 123', 'art. 8', 'art. 2', 'art. 4', 'art. 4', 'art. 5', 'art. 6', 'art. 5', 'art. 122', 'art. 5']

Divieto: Internet - Caso Peppermint: illecito ''spiare'' gli utenti che scambiano file musicali e giochi
[v. Comunicatistampa 17 luglio 2007, 18 maggio 2007 e 13 marzo 2008]
INTERNET - CASOPEPPERMINT: ILLECITO ''SPIARE'' GLI UTENTI CHE SCAMBIANO FILE MUSICALI E GIOCHI
VISTE le recenti ordinanze con le qualiil Tribunale di Roma –come richiesto da questa Autorit� – harigettato alcuni ricorsi con i quali le societ� Peppermint Jam Records GmbH (diseguito, Peppermint), casa discografica con sede in Germania e Techland sp. z.o.o. (di seguito, Techland), societ� che elabora e commercializza giochielettronici avente sede in Polonia, intendevano ottenere da taluni fornitori diservizi di comunicazione elettronica la comunicazione delle generalit� disoggetti ritenuti responsabili di aver scambiato file protetti dal diritto d'autore tramite reti peerto-peer;
RILEVATO che tali ricorsi si basavanosull'attivit� svolta per conto e su autorizzazione delle predette societ� daLogistep AG (di seguito, Logistep), societ� svizzera che, attraversoun'attivit� di monitoraggio delle reti peer-to-peer effettuata tramite un software proprietario, aveva individuato numerosi indirizziIp i cui titolari erano stati considerati responsabili della predetta condottaillecita;
VISTA la nota del 25 maggio 2007 con laquale l'Autorit� ha avviato accertamenti volti a verificare la liceit� e lacorrettezza dei trattamenti di dati personali svolti dalle predette societ�,alle quali � stato quindi chiesto di comunicare ogni informazione edocumentazione utile per valutare le modalit� con le quali, anche avvalendosidell'attivit� di altri soggetti, sono stati concretamente raccolti e utilizzatii dati personali di utenti identificati o identificabili; rilevato che con talenota si � chiesta, altres�, collaborazione e cooperazione alle autorit� diprotezione dei dati personali dei Paesi nei quali risultano stabilite lesociet� medesime (Repubblica federale tedesca, Polonia e Svizzera);
VISTE le note del 18 giugno e del 5luglio 2007 con le quali l'avv. Otto Mahlknecht, che ha curato gli interessidelle societ� Peppermint e Techland, nel richiamare le deduzioni formulate neidiversi procedimenti giudiziari, ha fornito altri elementi conoscitivi sulfunzionamento del software utilizzato da Logistep nell'attivit� svolta suincarico delle altre due societ�, allegando la perizia di un esperto delsettore;
VISTA la nota del 19 giugno 2007 con laquale Logistep ha fornito altre informazioni in merito alla propria attivit� eha comunicato l'avvio di un'attivit� di collaborazione con l'autorit� svizzeradi protezione dati finalizzata a verificare la liceit� dell'attivit� svolta;
VISTA la comunicazione del 20 giugno 2007con la quale l'autorit� polacca per la protezione dei dati ha rappresentato diaver effettuato un accertamento ispettivo e di aver rilevato che Techland nonha svolto direttamente le attivit� necessarie per individuare le persone chescambiano illecitamente su reti peer-to-peer il software da essa sviluppato, e che tali attivit� sono state svolte, su propriaautorizzazione, da Logistep, nonch� da Logistep Polska, e curate poi dallostudio legale italiano dell'avv. Otto Mahlknecht;
VISTA la nota del 22 giugno 2007dell'autorit� per la protezione dei dati personali per la Bassa Sassonia;
VISTO il Codice in materia di protezionedei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito, "Codice") e, in particolare, gli artt. 11, 13 e 122 delCodice;
1. Oggetto delprovvedimento Il presente provvedimento ha per oggetto la liceit� ecorrettezza del trattamento di dati personali relativi a utenti identificabilioperanti su reti peer-to-peer (diseguito, anche "p2p") che � stato effettuato a cura dapprima diLogistep AG e Logistep Polska su autorizzazione di Peppermint e Techland e,poi, presso il predetto studio legale italiano. Tale trattamento � avvenuto indue fasi:
a) la prima, � consistita nella raccoltae nell'elaborazione automatizzata, anche nell'ambito di banche dati, diinnumerevoli informazioni di carattere personale estratte tramite retipeer-to-peer per mezzo di un software denominato "file sharing monitor" (di seguito, fsm) utilizzato da Logistep; b) la seconda, si �basata sulla richiesta all'autorit� giudiziaria italiana in sede civile diordinare a taluni fornitori di servizi di comunicazione elettronica di rivelarele generalit� degli intestatari degli interessati. A seguito di alcune primepronunce del Tribunale di Roma che hanno provveduto in tal senso (cfr. causa Peppermint c/ Wind telecomunicazioniS.p.A., ordinanza del 18 agosto 2006 confermata, in sede di reclamo cautelaredella Wind, con ordinanza del 22 settembre 2006 e, attualmente, in attesa cheil giudice determini le modalit� di attuazione dell'ordinanza di accoglimento;causa Peppermint c/Telecom Italia S.p.A., ordinanza del 28/29 novembre 2006,riformata in sede di reclamo della Peppermint con ordinanza del 9 febbraio 2007), il predetto legale ha inviato diverse centinaia dilettere a persone individuate quali intestatari di una linea di collegamento aInternet. Con tali lettere si � contestata la violazione dei diritti derivantidalla produzione di fonogrammi e si � proposta una risoluzione bonaria,alternativa anche alla denuncia in sede penale, basata sul rispetto di alcunecondizioni comprensive di un versamento di 330 euro.
Il presente provvedimento non riguarda,invece, la connessa questione oggetto pi� specificamente delle predettecontroversie instaurate presso il Tribunale di Roma nelle quali si � costituitoanche il Garante e in cui, a modifica del primo orientamento giurisprudenzialesopramenzionato, il Tribunale ha statuito che i fornitori di servizi dicomunicazione elettronica, allo stato della legislazione vigente, non possonocomunicare in sede giurisdizionale civile a Peppermint e Techland i nominatividegli interessati ritenuti responsabili di violazioni del diritto d'autore inrete. Ci�, stante la specifica disciplina della conservazione dei dati ditraffico, prevista solo per finalit� di accertamento e repressione di reati(art. 132 del Codice; cfr. causaPeppermint e Techland c/Wind Telecomunicazioni S.p.A.,ordinanza 14 luglio 2007;causa Peppermint e Techland c/ Telecom Italia S.p.A.,ordinanza 14 luglio 2007;causa Peppermint c/ Wind telecomunicazioni S.p.A., ordinanza 26 ottobre 2007; cfr., anche, comunicato stampa del 17 luglio 2007).
Tale profilo della comunicazione dei datidi traffico � stato esaminato, da ultimo, dalla Corte di giustizia delleComunit� europee la quale si � pronunciata su una questione per molti aspettisimile (sentenza 29 gennaio 2008, pronunciata nella causa C-275/06 Promusicaec/ Telefonica de Espana Sau).
La Corte ha confermato che il dirittocomunitario consente agli Stati membri di circoscrivere all'ambito delleindagini penali o della tutela della pubblica sicurezza e della difesa nazionale-a esclusione, quindi, dei processi civili- il dovere di conservare e mettere adisposizione i dati sulle connessioni e il traffico generati dallecomunicazioni effettuate durante la prestazione di un servizio della societ�dell'informazione. La Corte ha rilevato che anche i dati di traffico conservatiper finalit� di fatturazione non possono essere utilizzati in "controversiediverse da quelle insorgenti tra i fornitori e gli utilizzatori, relative aimotivi della memorizzazione dei dati avvenuta per attivit� previste dalledisposizioni [dell'art. 6 della direttiva 2002/58/Ce]" (cfr.art. 123 del Codice); da ci�, ha escluso la possibilit� che tali dati potesseroessere messi a disposizione per controversie civili relative ai diritti dipropriet� intellettuale (cfr. punto 48 della sentenza; artt. 15, n. 2, e 18della direttiva 2000/31/Ce relativa a taluni aspetti giuridici dei servizidella Societ� dell'informazione, in particolare il commercio elettronico, nelmercato interno; artt. 8, nn. 1 e 2 direttiva 2001/29/Ce sull'armonizzazione ditaluni aspetti del diritto d'autore e dei diritti connessi nella societ�dell'informazione; art. 8 direttiva 2004/48/Ce sul rispetto dei diritti dipropriet� intellettuale; artt. 17, n. 2 e 47 Carta dei diritti fondamentalidell'Unione europea).
2. Risultanze istruttorie efunzionamento del software fsm Nelle centinaia di lettere inviate a utenti inItalia, il legale che ha agito per conto di Peppermint ha dichiarato che sullabase dei risultati acquisiti grazie al predetto software "antipirateria" appositamente realizzato, ritenuto di assolutaaffidabilit� e attendibilit�, � stato possibile accertare che:
0. ciascun destinatario dellelettere aveva violato il diritto d'autore a partire dalla linea di reteInternet risultante nella rispettiva titolarit�, mettendo indebitamente filemusicali a disposizione di terzi;
0. ci�, risultava avvenuto medianteun software di condivisionecontemporanea di file (c.d. peer-to-peer) che altri utenti risultavano aver utilizzato per connettersi al p.c.dei destinatari delle lettere e per scaricare i file musicali da una cartella aquesto dedicata.
Lo scambio di file via Internet rientranella nozione di "comunicazione" anche quando ha per oggetto contenuti protetti dal diritto d'autore,tenuto conto che la nozione stessa include lo "scambio o latrasmissione di informazioni", "tramiteun servizio di comunicazione elettronica accessibile al pubblico", tra "un numero finito di soggetti" (cfr.art. 2, lettera d), primo periodo, della direttiva 2002/58/CE e art. 4, comma1, lett. l) del Codice). Quest'ultimo riferimento tende a distinguere l'ambitodelle "comunicazioni private" da quello delle "comunicazioni al pubblico". La circostanza che il sistema peer-to-peer consental'accesso a un numero potenzialmente elevato di utenti non rende "infinito", o del tutto indeterminabile, il numero dei soggettidella comunicazione. Quest'ultima, � infatti rivolta non a una plateaindistinta di utenti, ma a soggetti delimitati che possono essere identificati.Manca, tra l'altro, la simultaneit� e l'unicit� della trasmissione che sonocaratteristiche qualificanti di una "comunicazione al pubblico" (come � nel caso del "servizio diradiodiffusione" -c.d. broadcasting-, espressamente escluso dall'ambito applicativo della nozione dicomunicazione elettronica: cfr.,anche, art. 4, comma 2, lett. a) del Codice).
L'attivit� di ricognizione condotta daLogistep risulta essersi focalizzata su due importanti reti p2p, GNUtella eeDonkey e utilizzando il sistema software fsm, sviluppatointegrando e modificando software liberamente disponibili sulla rete per collegarsia reti p2p.
Il software fsmconsente:
a) usuali operazioni effettuabili tramitei comuni client, eccettuata lacondivisione di fileeventualmente scaricati dalla rete; b) l'archiviazione a scopo didocumentazione di tutte le informazioni usualmente caratterizzate da "volatilit�", perch� non necessarie una volta che la trasmissionedei file � avvenuta; c) dicorrelare le attivit� sulle reti p2p di un determinato utente al variaredell'indirizzo Ip assunto, nonch� del provider utilizzato (il clock del programma risulta sincronizzato con una sorgenteesterna, mentre viene tenuta traccia dell'identificativo Guid, generato al momento dell'installazione dei client).
In sostanza, il software fsmpermette di tenere traccia della disponibilit� in rete di un certo "contenuto"; di verificarne l'effettiva possibilit� diacquisizione, effettuandone lo scaricamento (download), ovvero la copia in rete dalle aree di condivisionedegli utenti che ospitano quel contenuto verso i propri computer; diverificarne la segnatura digitale con algoritmo SHA1 o MD5 (in dipendenza dalprotocollo p2p utilizzato); di controllarne la diffusione, verificandol'esistenza di altre condivisioni presuntivamente riferibili a una pregressaattivit� di "download"(sul presupposto che la quasi totalit� degli utenti che condividono unospecifico contenuto lo abbiano a loro volta acquisito da un'altra fonte nellarete, tranne eventualmente il soggetto che originariamente lo abbia messo perla prima volta in condivisione, con una specifica segnatura digitale).
In particolare, il sistema fsm consente la raccolta dei seguenti dati: indirizzi Ipdell'offerente, il nome e il valore Hash del file, la misure del file, l'user name, il Guid, la data e l'ora del download.
In altre parole, come emerge dalla stessaperizia prodotta dall'avv. Mahlknecht, il software fsmaccerta da chi, e quando, viene offerto quale file per un downloading e da chi, quando e per quanto tempo vieneeffettivamente copiato tale file;riconosce i tentativi dei partecipanti di sistemi di condivisione file di modificare il loro indirizzo Ip; organizza taliinformazioni in una banca dati.
Anche se non risulta in atti che ilsistema fsm svolga attivit�intrusive o installazioni di software o di altri componenti sul terminale dell'utente che partecipa al filesharing, e sebbene non risultinoallo stato significativi elementi di diversit� nelle modalit� di funzionamentodi tale software rispetto ainormali client che agiscono sullereti p2p, il trattamento svolto da Logistep su incarico di Peppermint eTechland non pu� comunque ritenersi lecito.
3. Profili di illiceit� e non correttezzadel trattamento Il trattamento in questione � stato inizialmenteeffettuato a partire da un Paese (la Svizzera), dotata di una legge diprotezione dei dati e che ha ratificato la Convenzione di Strasburgo n.108/1981, e la cui autorit� di protezione dei dati ne ha gi� dichiarato, perquesta parte, l'illiceit�.
La Pr�pos� f�d�ral � la protection desdonne et � la transparence (PFPDT),con una recente pronuncia adottata all'esito di un procedimento avviato anchesu impulso di questa Autorit�, ha ritenuto che il trattamento svolto daLogistep su incarico di Peppermint e Techland e che ha riguardato ancheinformazioni memorizzate su p.c. di utenti italiani, ha violato alcuni princ�pifondamentali della legge federale sulla protezione dei dati personali(decisione del 9 gennaio 2008).
E' risultato in particolare violato ilprincipio di liceit� (in ragione del fatto che la raccolta dei dati � stataeffettuata in mancanza di una base legale esplicita). Si � ritenuto in secondoluogo violato il principio di finalit� (in quanto la registrazione sistematicadei dati degli utenti ha perseguito scopi diversi da quelli tipici delle reti peer-to-peer). Non sono stati, altres�, rispettati i princ�pi dibuona fede e trasparenza, in quanto la raccolta dei dati � avvenuta senza chegli interessati potessero esserne consapevoli (sia per le circostanze nellequali la raccolta � avvenuta, sia perch� non informati) e i dati possono esserestati raccolti all'insaputa di abbonati che non sono, necessariamente, isoggetti coinvolti nello scambio dei dati. Infine, � risultato violato ilprincipio di proporzionalit� (in quanto il diritto alla segretezza dellecomunicazioni � risultato limitabile solo nell'ambito di un bilanciamento conun diritto di pari grado e, quindi, allo stato, non per l'esercizio diun'azione civile).
Non risultano in atti elementi pi�specifici di valutazione delle modalit� di trattamento di dati che � statoeffettuato a cura di Logistep Polska, il quale, qualora si sia svolto con lemodalit� sopraindicate, si � posto anch'esso in violazione dei princ�pi ditrasparenza, finalit�, correttezza e buona fede richiamati sia dallaConvenzione di Strasburgo, sia dalla direttiva 95/46/Ce e dalla stessadisciplina nazionale di protezione dati (cfr. art. 5 Conv. n. 108/1981 cit., art. 6 direttiva95/46/Ce).
I trattamenti in esame, effettuati inmodo massivo e capillare per un periodo di tempo prolungato e nei riguardi diun numero elevato di soggetti, hanno consentito di tenere traccia analiticadelle operazioni compiute da innumerevoli, singoli utenti relativamente aspecifici contenuti protetti dal diritto d'autore.
Per le modalit� con le quali la raccoltadei dati � stata svolta, si � configurata un'attivit� di monitoraggio vietata asoggetti privati dalla direttiva 2002/58/Ce (art. 5; cfr. art. 122 del Codice).
Le reti p2p sono finalizzate allo scambiofra utenti di dati e file perscopi sostanzialmente personali, mentre il software fsm"non � destinato allo scambio di dati, ma al monitoraggio ed alla ricercadi dati, che utenti di reti P2P mettono a disposizione a terzi" (cfr. nota del 5 luglio 2007 dell'Avv. Otto Mahlknecht).I dati che gli utenti mettono in rete possono essere utilizzati per le finalit�per le quali tale pubblicazione avviene (cfr., fra gli altri, Provv. del 14 giugno 2007, doc. web n. 1424068). L'utilizzodei dati dell'utente delle reti peer-to-peer pu�, quindi, avvenire per le finalit� sue proprie enon gi�, in modo non trasparente, per scopi ulteriori, quali quelli perseguitida Logistep, Peppermint e Techland.
Il trattamento � risultato viziato anchesotto il profilo della trasparenza e della correttezza, posto che non � statafornita alcuna informativa preliminare agli utenti. Dalla descrizione resadalle societ� sul funzionamento del software fsm si � potuto rilevare che, mentre gli indirizzi Ipsono stati acquisiti da un terzo rispetto agli utenti (il tracker), gli altri dati (ossia, i file offerti in condivisione, data e ora del download) sono stati raccolti direttamente presso gliinteressati.
Il Tribunale di Roma ha riconosciuto, pertali informazioni, la natura di "dati personali" relativi a utenti identificabili i quali dovevanoessere informati di tale ulteriore e inatteso trattamento (v. anche Pareredel Gruppo Art. 29 del 18 gennaio 2005 in materia di diritti di propriet�intellettuale, nel quale � stato rilevato che nessun dato personale pu� essereraccolto senza che l'interessato sia correttamente e preventivamente informato,in maniera trasparente, sulle eventuali modalit� di controllo e sull'identit�del soggetto che lo effettua, prima che il trattamento abbia inizio e prima chel'interessato fornisca i dati personali attraverso il download ).
4. Conclusioni Come premesso, unaseconda fase del trattamento dei dati connesso all'invio delle lettere �avvenuta nel territorio dello Stato, utilizzando dati personali relativi a personeidentificabili e raccolti illecitamente.
Si rende pertanto necessario, adefinizione della complessa istruttoria preliminare, provvedere in ordineall'ulteriore utilizzazione di tali dati sul territorio dello Stato. Ci�, senzache occorra proseguire gli accertamenti per verificare anche se, e in qualemisura, la disciplina italiana di protezione dei dati trovi in tutto o in parteapplicazione anche alla prima fase di raccolta automatizzata dei dati, allaluce della disposizione normativa secondo cui la legge italiana si applica aitrattamenti effettuati da soggetti stabiliti nel territorio di un Paese nonappartenente all'Unione europea il quale impieghi, per il trattamento,strumenti situati nel territorio dello Stato (quali i p.c. degli utenti italiani, dai quali Logistep hachiaramente tratto gli indirizzi Ip: art. 5 del Codice).
In ragione delle predette risultanze nonpossono che confermarsi le valutazioni di illiceit� e non correttezza gi�tratteggiate nelle memorie di costituzione in giudizio nelle controversiedinanzi al Tribunale di Roma –e note alle controparti –, econseguentemente disporsi il divieto nei confronti delle predette tre societ�di ulteriore utilizzazione dei dati personali raccolti illecitamente, nonch� laloro cancellazione entro il termine del 31 marzo 2008.
ai sensi degli artt. 143, comma 1, lett.c) e 154, comma 1, lett. d) del Codice dispone, nei termini di cui inmotivazione, nei confronti di Peppermint Jam Records GmbH, Techland sp. z. o.o.e Logistep AG, il divieto dell'ulteriore trattamento dei dati personalirelativo a soggetti ritenuti responsabili di aver scambiato file protetti dal diritto d'autore tramite reti peer-to-peer e ne dispone la cancellazione entro il termine del31 marzo 2008.