Newsgroup: it.diritto.internet
Titolo: Caso Google: un primo commento alle motivazioni della sentenza

Vi riporto un breve commento alla sentenza che ho scritto per il mio 
blog...
Sono state recentemente pubblicate le motivazioni della sentenza 
“Vividown”, che ha visto condannati tre dirigenti di Google Italia per 
trattamento illecito di dati personali
Tralascio tutte le altre serie di questioni per cercare di ricostruire 
la vicenda solo ed esclusivamente dal punto di vista della privacy.
Applicare i dettami del D.Lgs. 196/03 in sostanza, impone di 
riscostruire una o più attività umane sulla base delle regole peculiari 
ivi contenute.
Bisogna capire nell’ordine:
   1. se si rientra nell’ambito di applicabilità della norma (art. 5)
   2. se si è in presenza di un trattamento di dati personali
   3. chi sono i soggetti del trattamento, con particolare riferimento 
a quelli indispensabili, ossia il titolare e l’interessato
   4. quali delle diverse regole si possono/devono applicare al caso 
concreto
Il Tribunale di Milano ha seguito correttamente questo iter? Leggendo 
la motivazione, molto semplicemente non lo ha fatto. E neppure, cosa 
più singolare, lo ha fatto la Difesa degli imputati.
Il Giudice parte dall’articolo 167, che stabilisce cosa è un 
trattamento illecito di dati personali, saltando a piè pari il punto 3.
E’ il primo grande errore che inficia l’intero ragionamento.
Vediamo nel dettaglio come si sarebbe dovuto procedere.
Diamo per scontato che il D.Lgs. 196 sia applicabile.
Quanto al punto due bisogna capire se l’attività di pubblicare un 
filmato sia un trattamento di dati personali. Per “trattamento” si 
intende una qualsiasi operazione che può essere compiuta su quelle 
particolari informazioni che sono i dati personali: mettere online è 
sicuramente un’attività ricompresa in questa definizione (diffusione). 
Le videoriprese di una persona, poi, rientrano senza dubbio alcuno 
nell’ampio concetto di “dato personale”.
Ma quanto al terzo punto? Secondo la sentenza, Google in questo caso è 
titolare del trattamento in quanto “hoster attivo”. Ma è davvero così? 
E’ un punto fondamentale dell’intera vicenda, dato che gli obblighi 
previsti dalla norma sorgono in capo al Titolare e non ad altri 
soggetti. La soluzione del Giudice è molto discutibile. Titolare è 
colui “cui competono, anche unitamente ad altro titolare, le decisioni 
in ordine alle finalità, alle modalità del trattamento di dati 
personali e agli strumenti utilizzati, ivi compreso il profilo della 
sicurezza”.
Questa definizione ci fa capire che nel momento in cui qualcuno 
utilizza una piattaforma come youtube ci si trova in presenza di due 
distinti trattamenti che fanno capo a due distinti titolari.
1° trattamento: Tizio si registra su Youtube per poter usufruire del 
servizio. Chi è il titolare? Certamente Google: infatti raccoglie i 
dati da Tizio (l’interessato) e li tratta per fornire un servizio di 
cui Google stesso stabilisce le regole e il funzionamento. E’ Google, 
ad esempio, che è tenuto a far si che i dati personali di Tizio vengano 
protetti adeguatamente.
2° trattamento: Tizio realizza un filmato e lo carica sulla 
piattaforma. Ai sensi dell’articolo 5 egli è titolare del trattamento 
ed è chiamato a rispettare le regole del D.Lgs. 196/03. Deve informare 
il soggetto ripreso ai sensi dell’articolo 13, deve, qualora sia 
previsto, ottenerne il consenso informato.
Sono questi due piani ben distinti e che non possono intersecarsi. Per 
capirsi, Google non ha alcun titolo per chiedere il consenso al 
soggetto che viene ripreso nel video messo on-line da Tizio perchè non 
è lui il titolare di quello specifico trattamento, dato che neanche 
nella più fantasiosa ricostruzione si può sostenere seriamente che la 
società abbia la possibilità di incidere su tali operazioni. Un punto 
fermo della vicenda, confermata anche dal Giudice, è che Google non ha 
alcun controllo delle informazioni caricate tramite le sue piattaforme. 
Come si può, allora sostenere che possa decidere sulle finalità e 
modalità di quelle operazioni di trattamento, ossia che svolga quelle 
attività che identificano chi è il Titolare del trattamento?
Posso decidere le modalità di un’attività che non conosco e su cui non 
ho alcuna possibilità di incidere? Mi sembra evidente la risposta…
Pensiamo paradossalmente all’ipotesi in cui il video incriminato non 
fosse stato diffuso tramite Google Video ma utilizzando Gmail, la 
casella di posta elettronica di Google. Anche in questo caso le 
informazioni sono conservate sui server di Google, e anche questa è 
un’operazione che può rientrare nel concetto di trattamento. Se non si 
opera la distinzione vista sopra tra i due livelli distinti di 
trattamento, si finisce per ritenere colpevole Google per le mail 
mandate da un suo utente!
Tornando poi al punto 4 della scaletta, vediamo poi se il giudice ha 
correttamente interpretato l’articolo 167 che mi dice quando un 
trattamento illecito viene sanzionato penalmente.
Vediamo l’articolo:
    Art. 167. Trattamento illecito di dati
    1.Salvo che il fatto costituisca più grave reato, chiunque, al fine 
di trarne per sè o per altri profitto o di recare ad altri un danno, 
procede al trattamento di dati personali in violazione di quanto 
disposto dagli articoli 18, 19, 23, 123, 126 e 130, ovvero in 
applicazione dell’articolo 129, è punito, se dal fatto deriva 
nocumento, con la reclusione da sei a diciotto mesi o, se il fatto 
consiste nella comunicazione o diffusione, con la reclusione da sei a 
ventiquattro mesi.
    2.Salvo che il fatto costituisca più grave reato, chiunque, al fine 
di trarne per sè o per altri profitto o di recare ad altri un danno, 
procede al trattamento di dati personali in violazione di quanto 
disposto dagli articoli 17, 20, 21, 22, commi 8 e 11, 25, 26, 27 e 45, 
è punito, se dal fatto deriva nocumento, con la reclusione da uno a tre 
anni.
E’ chiaro, quindi, che perchè si possa parlare di trattamenti illeciti 
è necessario che:
- che esista il fine di trarre profitto o di recare un danno;
- che ci sia la violazione specifica degli articoli indicati.
Anche in questo caso il Giudice si occupa del primo punto ma trascura 
il secondo: anche dando per scontato una cosa che scontata non è, ossia 
che Google tragga profitto dall’attività di consentire la pubblicazione 
del video, bisogna vedere se viola quanto previsto dagli articoli 
indicati. Nella sentenza il Giudice contesta “il comportamento 
scorretto” di Google che consiste nel fornire una informativa carente 
e, comunque, talmente nascosta nelle condizioni generali di contratto 
da essere inefficace per i fini previsti dalla legge. Non si contesta, 
si badi bene, il mancato consenso, anzi si stabilisce che Google non 
aveva alcun obbligo di richiederlo.
Come potete ben notare, però, l’articolo 167 non fa nessun riferimento 
all’articolo 13, che è quello che definisce l’obbligo di informativa, 
ma agli articoli 23 e 26 relativi al consenso!
Stando alla norma, se tratto dati personali non fornendo adeguata 
informativa sarà al limite applicabile l’articolo 161 (omessa o 
inidonea informativa), che prevede la sanzione amministrativa del 
pagamento di una somma da seimila euro a trentaseimila euro, ma di 
certo non l’articolo 167!
Tirando le somme, quindi, il problema di questa sentenza non è solo 
“politico”, ma essenzialmente giuridico. Quello che bisogna chiedersi 
non è tanto se il provvedimento rispetta la libertà e le peculiarità 
della Rete, ma, soprattutto, se rispetta la normativa vigente. Cosa su 
cui, personalmente, ho molti dubbi.
-- 
Gamertag: The Cheese 0n3

 è "titolare" del trattamento principale?
Sai che non ho capito l'esempio? Come dicevo una persona fisica o 
giuridica può, in relazione al trattamento dei dati, operare come :
-Titolare
-Responsabile
-Incaricato.
Non riesco a capire cosa intendi con "intermediario"...


 mirate a *terzi* estrenei al rapporto di trattamento originario.
Scusa, ma a rigor di norma anche memorizzare i dati in una risorsa 
logica è un trattamento "ulteriore". Nel concetto di "trattamento" la 
memorizzazione è messo sullo stesso piano del "rielaborare".



Non ho mai detto questo.
Ho detto che è un trattamento di dati il cui titolare non è Google.


 Proprio *chiunque*.
Chiunque tratti dati in violazione di ben specifici articoli di legge.
Ad esempio quelli che prevedono il consenso.
Adesso vuoi dirmi che il consenso può essere chiesto da chi non è il 
titolare?


 Tranni i casi di esplicita esclusione.
No scusa. Non ho capito. Un soggetto esterno al trattamento chiede il 
consenso??



Guarda che non può esistere un trattamento senza un titolare ed un 
interessato. Su questo non ci piove. Il ruolo di Titolare non dipende 
da nomine o altre formalità, un soggetto è titolare quando esercita di 
fatto i poteri che la legge attribuisce al titolare.
Chi effettua il trattamento deve per forza essere inquadrato in uno dei 
tre ruoli previsti: titolare, responsabile, incaricato.


 
Credo che intenda dire che Google non puï¿œ (non deve? non ï¿œ tenuto?) a 
chiedere il consenso al trattamento a chi non ï¿œ titolare.
Un po' come dire che che A fornisce a B i dati di C, che senso ha per B 
chiedere ad A il consenso visto che A non ï¿œ il titolare dei dati?
-- 
Il blog: 
http://www.gerry.it/blog
Dvdtree: 
http://www.dvdtree.org/
Animeclick: 
http://www.animeclick.it
ISCF: 
http://iscfiorentina.blogspot.com
 
Se una nazione si aspetta di essere ignorante e libera, essa immagina 
quello che mai ï¿œ stato e mai sarï¿œ. Il popolo non puï¿œ essere sicuro senza 
informazione. Quando la stampa ï¿œ libera, e ogni uomo ï¿œ in grado di leggere, 
tutto ï¿œ sicuro. (Thomas Jefferson)

  pronti a valutare il caso
Non parliamo poi di quanto può essere difficile valutare questo aspetto.
-- 
Il blog: 
http://www.gerry.it/blog
Dvdtree: 
http://www.dvdtree.org/
Animeclick: 
http://www.animeclick.it
ISCF: 
http://iscfiorentina.blogspot.com
 
Se una nazione si aspetta di essere ignorante e libera, essa immagina 
quello che mai è stato e mai sarà. Il popolo non può essere sicuro senza 
informazione. Quando la stampa è libera, e ogni uomo è in grado di leggere, 
tutto è sicuro. (Thomas Jefferson)

 B non ne ï¿œ il _titolare_ tuttavia li _tratta_ e li _cede_.
Premetto che non sono un avvocato ma un informatico, se A non ha diritti 
sui dati la mancanza di questa "feature" non invalida tutto? :)


 
Premetto anche io di non essere un giurista.
A tratta i dati di B e li fornisce a C, quindi A deve avvertire B che i
suoi dati possono essere trattati da terzi e incarica per iscritto C del
trattamento dati di B dandogli le direttive su cosa e come fare.
A è titolare del trattamento dati e C è l'incaricato.
Nel caso specifico mi pare che se il giudice esclude, come pare dalle
motivazioni, l'obbligatorietà dell'esame preventivo dei dati forniti,
rimane l'obbligo della vigilanza dei genitori sul minore che ha
utilizzato impropriamente i mezzi messi a disposizione dell'informatica.
Poniamo il caso di un minore che prende il risultato delle analisi di
una terza persona e lo affigge sulla bacheca del Comune, è il Comune
responsabile?

 Questa mi � sfuggita. A quale pagina?
Non mi riferivo alla sentenza ma in generale alla responsabilit� civile
dei genitori.