1 UNIVERSITÀ DEGLI STUDI DI UDINE FACOLTÀ DI GIURISPRUDENZA DIPARTIMENTO DI SCIENZE GIURIDICHE Udine, 4 maggio 2007 La normativa comunitaria e italiana

1

UNIVERSITÀ DEGLI STUDI DI UDINE UNIVERSITÀ DEGLI STUDI DI UDINE FACOLTÀ DI GIURISPRUDENZA FACOLTÀ DI GIURISPRUDENZA

DIPARTIMENTO DI SCIENZE GIURIDICHEDIPARTIMENTO DI SCIENZE GIURIDICHE

Udine, 4 maggio 2007Udine, 4 maggio 2007

La normativa comunitaria e italiana La normativa comunitaria e italiana in tema di spam in tema di spam

©© Andrea Sirotti Gaudenzi Andrea Sirotti GaudenziAvvocatoAvvocato

Professore a contratto nell’Università di PadovaProfessore a contratto nell’Università di Padova

2

Domande preliminariDomande preliminari

Cos’è la privacy?Cos’è la privacy?Cos’è la protezione dei dati personali?Cos’è la protezione dei dati personali?Cosa sono i dati personali ?Cosa sono i dati personali ?Esistono regole in tema di sicurezza Esistono regole in tema di sicurezza

informatica ?informatica ?Esiste la sicurezza assoluta ?Esiste la sicurezza assoluta ?

© Studio legale Sirotti © Studio legale Sirotti GaudenziGaudenzi

3

Utopia di Thomas MoreUtopia di Thomas More


4

Le fonti della disciplinaLe fonti della disciplina

Fonti internazionali Fonti internazionali (art. 8 Convenzione CEDH)(art. 8 Convenzione CEDH)

Fonti comunitarie Fonti comunitarie (direttive 95/46 e 2002/58)(direttive 95/46 e 2002/58)

Fonti nazionali Fonti nazionali (d. lgs. 196/2003)(d. lgs. 196/2003)


5

Direttiva 2002/58/CE Direttiva 2002/58/CE

La direttiva (12 luglio 2003) si occupa del La direttiva (12 luglio 2003) si occupa del trattamento dei dati personali e alla tutela della trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni vita privata nel settore delle comunicazioni elettronicheelettroniche

La riservatezza nelle comunicazioni è garantita La riservatezza nelle comunicazioni è garantita conformemente agli strumenti internazionali conformemente agli strumenti internazionali relativi ai diritti dell’uomo, in particolare alla relativi ai diritti dell’uomo, in particolare alla Convenzione europea per la protezione dei diritti Convenzione europea per la protezione dei diritti dell'uomo e delle libertà fondamentali e alle dell'uomo e delle libertà fondamentali e alle costituzioni degli Stati membri. costituzioni degli Stati membri.


6

Direttiva 2002/58/CEDirettiva 2002/58/CE

Gli abbonati ad un servizio di comunicazione elettronica Gli abbonati ad un servizio di comunicazione elettronica accessibile al pubblico possono essere persone fisiche o accessibile al pubblico possono essere persone fisiche o persone giuridiche.persone giuridiche.

La direttiva, integrando la direttiva 95/46/CE, è volta a La direttiva, integrando la direttiva 95/46/CE, è volta a tutelare i diritti fondamentali delle persone fisiche e in tutelare i diritti fondamentali delle persone fisiche e in particolare il loro diritto alla vita privata, nonché i legittimi particolare il loro diritto alla vita privata, nonché i legittimi interessi delle persone giuridiche. interessi delle persone giuridiche.

La direttiva non comporta in alcun caso per gli Stati La direttiva non comporta in alcun caso per gli Stati membri l’obbligo di estendere l'applicazione della direttiva membri l’obbligo di estendere l'applicazione della direttiva 95/46/CE alla tutela dei legittimi interessi delle persone 95/46/CE alla tutela dei legittimi interessi delle persone giuridiche, tutela che è assicurata nel quadro della vigente giuridiche, tutela che è assicurata nel quadro della vigente normativa comunitaria e nazionale. normativa comunitaria e nazionale.


7

Direttiva 2002/58/CEDirettiva 2002/58/CE

La direttiva prevede la tutela dei legittimi La direttiva prevede la tutela dei legittimi interessi degli abbonati che sono persone interessi degli abbonati che sono persone giuridiche (art. 1)giuridiche (art. 1)

La direttiva si applica al trattamento dei dati La direttiva si applica al trattamento dei dati personali connesso alla fornitura di servizi personali connesso alla fornitura di servizi di comunicazione elettronica accessibili al di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione pubblico su reti pubbliche di comunicazione nella Comunità (art. 3)nella Comunità (art. 3)


8

Pubblicità - 1Pubblicità - 1 «qualsiasi forma di messaggio che sia diffuso, in «qualsiasi forma di messaggio che sia diffuso, in

qualsiasi modo, nell’esercizio di un’attività qualsiasi modo, nell’esercizio di un’attività commerciale, industriale, artigianale o commerciale, industriale, artigianale o professionale allo scopo di promuovere la vendita professionale allo scopo di promuovere la vendita di beni mobili o immobili, la costituzione o il di beni mobili o immobili, la costituzione o il trasferimento di diritti ed obblighi su di essi trasferimento di diritti ed obblighi su di essi oppure la prestazione di opere o di servizi» (art. oppure la prestazione di opere o di servizi» (art. 20 Cod. consumo)20 Cod. consumo)

Si esprime “principio generale” di trasparenza e di Si esprime “principio generale” di trasparenza e di correttezza della comunicazione pubblicitaria che correttezza della comunicazione pubblicitaria che impone all’operatore pubblicitario di esplicitare nel impone all’operatore pubblicitario di esplicitare nel messaggio, con chiarezza ed autonoma evidenza, messaggio, con chiarezza ed autonoma evidenza, oggetto e contenuto delle condizioni e i limiti cui è oggetto e contenuto delle condizioni e i limiti cui è subordinata la fruizione dell’oggetto della subordinata la fruizione dell’oggetto della reclamereclame (AGCM, 14 ottobre 2004, in (AGCM, 14 ottobre 2004, in Giust. civGiust. civ., 2005)., 2005)


9

Pubblicità - 2Pubblicità - 2

Il secondo comma dell’art. 19 del codice dispone Il secondo comma dell’art. 19 del codice dispone che la pubblicità debba essere:che la pubblicità debba essere:

1.1. palese;palese;2.2. veritiera;veritiera;3.3. corretta.corretta. In virtù dell’art. 20, è ingannevole «qualsiasi In virtù dell’art. 20, è ingannevole «qualsiasi

pubblicità che in qualunque modo, compresa la pubblicità che in qualunque modo, compresa la sua presentazione sia idonea ad indurre in errore sua presentazione sia idonea ad indurre in errore le persone fisiche o giuridiche alle quali è rivolta o le persone fisiche o giuridiche alle quali è rivolta o che essa raggiunge e che, a causa del suo che essa raggiunge e che, a causa del suo carattere ingannevole, possa pregiudicare il loro carattere ingannevole, possa pregiudicare il loro comportamento economico ovvero che, per comportamento economico ovvero che, per questo motivo, sia idonea ledere un concorrente».questo motivo, sia idonea ledere un concorrente».


10

SpamSpam


11

Lo spammingLo spamming

SPAM - SPAM - spiced pork and hamspiced pork and ham DISAGI:DISAGI:

1) i messaggi non sono richiesti e, quindi, creano 1) i messaggi non sono richiesti e, quindi, creano una perdita di tempo;una perdita di tempo;2) l’utente, per scaricare tali messaggi, paga un 2) l’utente, per scaricare tali messaggi, paga un costo di connessione non preventivato;costo di connessione non preventivato;3) il traffico delle comunicazioni viene allentato a 3) il traffico delle comunicazioni viene allentato a causa di questi messaggi non desiderati.causa di questi messaggi non desiderati.


12

DubbioDubbio

Opt-outOpt-outOpt-inOpt-in


13

Opt - outOpt - out

La soluzione La soluzione opt-outopt-out comporta una prima presa di comporta una prima presa di contatto da parte dello contatto da parte dello spammer.spammer.

Al destinatario viene data la possibilità di Al destinatario viene data la possibilità di scegliere se ricevere ancora e-mail commerciali scegliere se ricevere ancora e-mail commerciali (ad es., un collegamento attivo "unsubscribe“). (ad es., un collegamento attivo "unsubscribe“).

Se il destinatario non fa uso della soluzione Se il destinatario non fa uso della soluzione opt-opt-outout, accetta in modo implicito di ricevere altra , accetta in modo implicito di ricevere altra posta.posta.


14

Opt - inOpt - in

La soluzione La soluzione opt-inopt-in impone il consenso impone il consenso esplicito del destinatario di messaggi esplicito del destinatario di messaggi commerciali. commerciali.

Il mittente deve quindi ottenere il consenso Il mittente deve quindi ottenere il consenso del cliente prima di procedere al primo del cliente prima di procedere al primo invio. invio.


15

Lo spamming nel commercio elettronicoLo spamming nel commercio elettronico

L’art. 9 del d. lgs. n. 70/2003 si occupa di “comunicazione L’art. 9 del d. lgs. n. 70/2003 si occupa di “comunicazione commerciale non sollecitata”commerciale non sollecitata”

Fatti salvi gli obblighi (già) previsti dal decreto legislativo 22 Fatti salvi gli obblighi (già) previsti dal decreto legislativo 22 maggio 1999, n. 185 e dal decreto legislativo 13 maggio 1998, maggio 1999, n. 185 e dal decreto legislativo 13 maggio 1998, n. 171, le comunicazioni commerciali non sollecitate trasmesse n. 171, le comunicazioni commerciali non sollecitate trasmesse da un prestatore per posta elettronica devono, da un prestatore per posta elettronica devono, in modo chiaro e in modo chiaro e inequivocabileinequivocabile, essere identificate come tali fin dal momento , essere identificate come tali fin dal momento in cui il destinatario le riceve e contenere l'indicazione che il in cui il destinatario le riceve e contenere l'indicazione che il destinatario del messaggio può opporsi al ricevimento in futuro destinatario del messaggio può opporsi al ricevimento in futuro di tali comunicazioni.di tali comunicazioni.

La prova del carattere sollecitato delle comunicazioni La prova del carattere sollecitato delle comunicazioni commerciali spetta al prestatore.commerciali spetta al prestatore.

Il modello dell’Il modello dell’opt-out opt-out sembra essere in contrasto con le sembra essere in contrasto con le indicazioniofferte dalla direttiva 2002/58/CE.indicazioniofferte dalla direttiva 2002/58/CE.


16

Il D. L.gs. 30 giugno 2003 n. 196Il D. L.gs. 30 giugno 2003 n. 196

Per dato personale deve intendersi “qualunque informazione Per dato personale deve intendersi “qualunque informazione relativa a persona fisica, persona giuridica, ente od relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale”.compreso un numero di identificazione personale”.

Ai sensi dell’art. 23 comma I del Codice il trattamento di dati Ai sensi dell’art. 23 comma I del Codice il trattamento di dati personali può avvenire normalmente solo in virtù dipersonali può avvenire normalmente solo in virtù di consenso consenso dell’interessato.dell’interessato.

In determinate ipotesi, previste dall’art. 24 comma I, il In determinate ipotesi, previste dall’art. 24 comma I, il trattamento può avvenire trattamento può avvenire senza necessità di consensosenza necessità di consenso, come , come nel caso di trattamento dei dati provenienti da pubblici registri, nel caso di trattamento dei dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque (lett. c).elenchi, atti o documenti conoscibili da chiunque (lett. c).


17

Il D. L.gs. 30 giugno 2003 n. 196Il D. L.gs. 30 giugno 2003 n. 196 L’art. 130 si occupa delle L’art. 130 si occupa delle comunicazioni indesideratecomunicazioni indesiderate

(“L'uso di sistemi automatizzati di chiamata senza l'intervento di un (“L'uso di sistemi automatizzati di chiamata senza l'intervento di un operatore per l'invio di materiale pubblicitario o di vendita diretta o per il operatore per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso dell'interessato”)consentito con il consenso dell'interessato”)

Si fa riferimento anche a: posta elettronica, telefax, messaggi del tipo Mms Si fa riferimento anche a: posta elettronica, telefax, messaggi del tipo Mms o Sms o di altro tipo.o Sms o di altro tipo.

Fatto salvo quanto previsto nel comma 1, se il titolare del trattamento Fatto salvo quanto previsto nel comma 1, se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall'interessato nel contesto della vendita di un posta elettronica fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell'interessato, prodotto o di un servizio, può non richiedere il consenso dell'interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni. L’interessato, al momento della occasione di successive comunicazioni. L’interessato, al momento della raccolta e in occasione dell'invio di ogni comunicazione effettuata per le raccolta e in occasione dell'invio di ogni comunicazione effettuata per le finalità di cui al presente comma, è informato della possibilità di opporsi in finalità di cui al presente comma, è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente.ogni momento al trattamento, in maniera agevole e gratuitamente.

E’ vietato lo spoofingE’ vietato lo spoofing


18

L’intervento del GaranteL’intervento del Garante

11 gennaio 200111 gennaio 2001 E’ infondata la tesi secondo cui, con la partecipazione a E’ infondata la tesi secondo cui, con la partecipazione a

forumforum e e newsgroupnewsgroup, l'utente "decide di pubblicare (cioè di , l'utente "decide di pubblicare (cioè di rendere pubblico) il proprio indirizzo di posta elettronica" rendere pubblico) il proprio indirizzo di posta elettronica" ed "è consapevole che quell'indirizzo, quel dato, potrà ed "è consapevole che quell'indirizzo, quel dato, potrà esser letto ed acquisito da chiunque si trovi "a passare" esser letto ed acquisito da chiunque si trovi "a passare" dalla pagina web interessata". dalla pagina web interessata".

La circostanza che gli indirizzi di posta elettronica possano La circostanza che gli indirizzi di posta elettronica possano essere reperiti con una certa facilità in Internet non essere reperiti con una certa facilità in Internet non comporta il diritto di utilizzarli liberamente per inviare comporta il diritto di utilizzarli liberamente per inviare messaggi pubblicitari messaggi pubblicitari


19


29 maggio 200329 maggio 2003Spamming Spamming Regole per un corretto invio delle Regole per un corretto invio delle e-maile-mail

pubblicitarie pubblicitarie Provvedimento generaleProvvedimento generale


20


Gli indirizzi di posta elettronica recano dati Gli indirizzi di posta elettronica recano dati di carattere personale da trattare nel rispetto di carattere personale da trattare nel rispetto della normativa in materia della normativa in materia

La loro utilizzazione per scopi promozionali La loro utilizzazione per scopi promozionali e pubblicitari è possibile solo se il soggetto e pubblicitari è possibile solo se il soggetto cui riferiscono i dati ha manifestato in cui riferiscono i dati ha manifestato in precedenza un consenso libero, specifico e precedenza un consenso libero, specifico e informato.informato.


21


Il consenso è necessario anche quando gli indirizzi sono Il consenso è necessario anche quando gli indirizzi sono formati ed utilizzati automaticamente con un formati ed utilizzati automaticamente con un software software senza l’intervento di un operatore, o in mancanza di una senza l’intervento di un operatore, o in mancanza di una previa verifica della loro attuale attivazione o dell’identità previa verifica della loro attuale attivazione o dell’identità del destinatario del messaggio, e anche quando gli indirizzi del destinatario del messaggio, e anche quando gli indirizzi non sono registrati dopo l’invio dei messaggi.non sono registrati dopo l’invio dei messaggi.

Questo assetto, basato su una scelta dell’interessato c.d. di Questo assetto, basato su una scelta dell’interessato c.d. di opt-inopt-in, è stato ribadito nel 1998 (con il d.lg. n. 171) prima , è stato ribadito nel 1998 (con il d.lg. n. 171) prima ancora che una recente direttiva comunitaria lo estendesse ancora che una recente direttiva comunitaria lo estendesse a tutti i Paesi dell’Unione europea (n. 2002/58/CE in fase a tutti i Paesi dell’Unione europea (n. 2002/58/CE in fase di recepimento in Italia, pubblicata sulla G.U.C.E. n. L 201 di recepimento in Italia, pubblicata sulla G.U.C.E. n. L 201 del 31 luglio 2002).del 31 luglio 2002).


22

I RISCHI


23

Illeciti penaliIlleciti penaliArt. 167Art. 167Trattamento illecito di datiTrattamento illecito di dati1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé 1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 18, 19, 23, 123, 126 e personali in violazione di quanto disposto dagli articoli 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell’articolo 129, è punito, 130, ovvero in applicazione dell’articolo 129, è punito, se dal fatto deriva se dal fatto deriva nocumentonocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella , con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi.comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi.2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé 2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 17, 20, 21, 22, commi 8 personali in violazione di quanto disposto dagli articoli 17, 20, 21, 22, commi 8 e 11, 25, 26, 27 e 45, è punito, se dal fatto deriva nocumento, con la reclusione e 11, 25, 26, 27 e 45, è punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni.da uno a tre anni.


24

Tuttavia …Tuttavia …


25

Cass., sez. III, 15 febbraio 2005, Cass., sez. III, 15 febbraio 2005, n. 5728n. 5728

Il fatto che un soggetto comunichi i dati Il fatto che un soggetto comunichi i dati personali di un altro soggetto, reperiti in personali di un altro soggetto, reperiti in rete, ad alcuni rete, ad alcuni provider,provider, non integra gli non integra gli estremi dei delitti previsti dai commi 1 e 2 estremi dei delitti previsti dai commi 1 e 2 dell’art. 167 d.lgs. n. 196/2003.dell’art. 167 d.lgs. n. 196/2003.

In assenza di nocumento, non sono In assenza di nocumento, non sono configurabili gli estremi del reato previsto configurabili gli estremi del reato previsto dall’art. 167 d.lgs. n. 196/2003.dall’art. 167 d.lgs. n. 196/2003.


26


Uso del nome di un personaggio Uso del nome di un personaggio celebre all’interno di chat eroticicelebre all’interno di chat erotici

Iscrizione di un ammiratore di una Iscrizione di un ammiratore di una nota sportiva a servizi erotici nota sportiva a servizi erotici utilizzando i dati della propria utilizzando i dati della propria beniaminabeniamina


27


I dati di un personaggio celebre sono I dati di un personaggio celebre sono “dati pubblici”“dati pubblici”

L’attività posta in essere L’attività posta in essere dall’imputato non cagiona alcun dall’imputato non cagiona alcun nocumento alla celebre sportivanocumento alla celebre sportiva


28

Illeciti penaliIlleciti penaliArt. 170Art. 170Inosservanza di provvedimenti del GaranteInosservanza di provvedimenti del Garante

Chiunque, essendovi tenuto, non osserva il Chiunque, essendovi tenuto, non osserva il provvedimento adottato dal Garante ai provvedimento adottato dal Garante ai sensi degli articoli 26, comma 2, 90, 150, sensi degli articoli 26, comma 2, 90, 150, commi 1 e 2, e 143, comma 1, lettera c), è commi 1 e 2, e 143, comma 1, lettera c), è punito con la reclusione da tre mesi a due punito con la reclusione da tre mesi a due anni.anni.


29

Attività pericolosaAttività pericolosa

Anche nel Codice il trattamento di dati è Anche nel Codice il trattamento di dati è parificato parificato all’esercizio di attività all’esercizio di attività pericolosepericolose ex art. 2050 c.c. ex art. 2050 c.c.

Sostanzialmente, di fronte a danni Sostanzialmente, di fronte a danni riconducibili al trattamento dei dati, la riconducibili al trattamento dei dati, la società dovrà provare di avere fatto società dovrà provare di avere fatto tutto tutto quanto era possibile farequanto era possibile fare per evitare i per evitare i dannidanni..


30

Grazie per la cortese attenzioneGrazie per la cortese attenzione

Andrea R. Sirotti GaudenziAndrea R. Sirotti GaudenziStudio legale Sirotti GaudenziStudio legale Sirotti Gaudenzi

www.studiosirottigaudenzi.itwww.studiosirottigaudenzi.itinfo@[email protected]

Elephas indus culices non timetElephas indus culices non timet

Documents

1 UNIVERSITÀ DEGLI STUDI DI UDINE FACOLTÀ DI GIURISPRUDENZA DIPARTIMENTO DI SCIENZE GIURIDICHE Udine, 4 maggio 2007 La normativa comunitaria e italiana