Sentenza Google, la condanna è incoerente

È finalmente stata resa nota la sentenza con cui si è concluso il primo grado di giudizio del processo che ha visto condannare i tre dirigenti di Google a una pena detentiva di sei mesi. Il caso, di cui abbiamo ampiamente parlato su Apogeonline, è scaturito in seguito al reperimento di un video apparso su Google Video raffigurante un episodio di bullismo nei confronti di un ragazzo disabile. Gli autori del video sono stati condannati in separato processo dal tribunale di Torino mentre nei confronti di Google è stata esercitata l’azione penale dalla procura di Milano per i reati di concorso omissivo in diffamazione e violazione della normativa in materia di privacy. Come sappiamo, il tribunale di Milano ha riscontrato la colpevolezza degli imputati in merito alla sola violazione della privacy mentre il capo sulla diffamazione è caduto.Le motivazioni della condanna sono state particolarmente attese nel nostro paese e non solo: le regole in materia di responsabilità dei provider e in materia di protezione dei dati personali hanno entrambe origine comunitaria e, quindi, il processo italiano ha un rilievo che va oltre il confine nazionale avendo costituito il primo banco di prova nella ricerca di un punto di bilanciamento tra la libertà di espressione e di impresa in rete e il diritto alla privacy degli utenti.

Il provider non è responsabile

La motivazione della sentenza permette, in questo momento, di fare luce sulle domande più preoccupanti sorte al momento della condanna, e cioè se alla luce della legislazione italiana, sia possibile configurare un obbligo di controllo da parte di un provider sui contenuti immessi dai propri utenti e se il provider debba controllare in qualche modo che gli utenti che pubblicano dati personali o sensibili di terze persone ne abbiano ottenuto il preventivo consenso. Ebbene, secondo il tribunale di Milano la risposta a queste due domande è no. Il provider non ha l’obbligo di controllare il contenuto generato dagli utenti, così come non ha l’onere di assicurarsi che gli utenti abbiano adempiuto agli obblighi che la disciplina in materia di privacy gli attribuisce dal momento in cui procedano a diffondere sul web i dati di terze persone. E questo è un bene poiché in questo momento storico tali soluzioni sono condivise a livello globale e si fugano, così, tutti i timori che erano stati sollevati al momento della lettura del dispositivo in merito a una eventuale difformità di interpretazione giurisprudenziali dei principi suesposti in Italia e da pesanti accuse di censura. La condanna, però, c’è stata. Sulla base di quale principio, allora, i tre dirigenti sono stati condannati a 6 mesi di reclusione?

Leggiamo direttamente dalla sentenza: «Esiste, quindi, un obbligo non di controllo preventivo dei dati immessi nel sistema, ma di corretta e puntuale informazione da parte di chi accetti ed apprenda dati provenienti da terzi, ai terzi che questi dati consegnano. Lo impone non solo la norma di legge (articolo 13 dl citato), ma anche il buon senso» (cfr. pag. 93). Secondo il tribunale di Milano, quindi, i tre dirigenti di Google sono stati chiamati a rispondere per non avere adempiuto agli obblighi previsti dall’articolo 13 del Codice privacy e, cioè, di provvedere a fornire una corretta informativa. Quali requisiti dell’articolo 13 non sono stati rispettati dall’informativa di Google? La sentenza non lo dice, ma giova ricordare che Google è parte del programma promosso dal ministero per l’Economia statunitense e la Commissione dell’Unione Europea noto come “Safe Harbor” che stabilisce quali criteri debbono essere rispettati dalle imprese statunitensi per potere esercitare attività economiche in territorio europeo rispettando le normative in materia di privacy. Il requisito di un’adeguata informativa rientra tra gli obblighi che le imprese debbono rispettare.

Informativa e “alibi precostituiti”

Nella sentenza si legge che l’inserimento da parte di Google di un riferimento al rispetto dei dati di terzi da parte degli utenti nell’informativa inserita nelle Condizioni di Servizio equivale, in buona sostanza, a nascondere le informazioni sugli obblighi derivanti dal rispetto della legge sulla privacy e in merito alle condizioni di servizio si aggiunge che «il contenuto appare spesso incomprensibile, sia per il tenore delle stesse che per le modalità con le quali esse vengono sottoposte all’accettazione dell’utente» (cfr. pag. 96). Questa parte della motivazione espone un ragionamento interessante e, cioè, quale valore giuridico debba darsi in concreto alle condizioni o termini di servizio che siamo abituati ad accettare ogni volta che sottoscriviamo un servizio web, ma che molto di rado vengono effettivamente letti e compresi. Il problema in sentenza è appena accennato e certamente avrebbe meritato un ulteriore approfondimento, non solo per la sua centralità – vista la rilevanza che ha assunto in motivazione – nel caso di specie, ma anche per l’intrinseco valore di una riflessione sul dibattito in relazione al rapporto reale che esiste tra consenso prestato tramite il click sul pulsante “Accetto” e consapevolezza del contenuto e del significato delle clausole che si sono accettate con quel clic.

La motivazione, peraltro, non dice quali criteri avrebbero dovuto essere osservati nell’informativa per ritenerla, invece, corretta: si limita a constatare che era insufficiente e intenzionalmente non era stata adeguatamente evidenziata. Google, in pratica, avrebbe scientemente inserito informazioni relative agli obblighi in materia di privacy nei propri servizi solo a fini di cautela legale ma, in concreto, per il giudice non erano sufficienti a informare in modo effettivo l’utente. Nella sentenza si legge, infatti che «tale comportamento, improntato ad esigenze di minimalismo contrattuale e di scarsa volontà comunicativa costituisce una specie di “precostituzione di alibi” da parte del soggetto». La mancata indicazione dei criteri che l’informativa di un servizio come Google Video avrebbe dovuto seguire – anche perché il difetto e l’incompletezza dell’informativa non possono essere solo presunti, devono esserlo in concreto – non sono la sola perplessità alla base della motivazione che spiega i motivi della condanna. Rimane, infatti, da capire in che modo una informativa incompleta ha portato ad una incriminazione per trattamento illecito dei dati.

Incompleta informativa e reclusione?

Come è noto, infatti, i capi di imputazione nei confronti dei dirigenti Google erano due. Uno riguardante il concorso omissivo in diffamazione (capo A), caducato, e l’altro riguardante l’illecito trattamento dei dati personali (capo B), che è quello che ha dato origine alla sentenza di condanna. Il capo B, lo ricordiamo, vedeva i tre dirigenti imputati in concorso tra loro per il trattamento illecito dei dati personali dello studente disabile secondo quanto previsto dall’articolo 167 del Codice in materia di protezione dei dati personali. Nell’imputazione si legge, infatti, che i tre dirigenti «al fine di trarne profitto» (ritenuto sussistente dalla presenza dei Google Ads nei contenuti di Google Video) «procedevano al trattamento dei dati personali (del disabile) in violazione degli articoli. 23, 17 e 26 del decreto legislativo 196/03 con relativo nocumento per la persona interessata». L’articolo 167 è quindi la norma chiave che ha portato il giudice alla condanna dei tre dirigenti di Google e riguarda, appunto l’illecito trattamento. Ebbene, l’articolo 13 non è menzionato nell’articolo 167. Esso non parla di informativa se non per un richiamo indiretto attraverso l’articolo 23 richiamato nel secondo comma e che si riferisce, però, al consenso. E sul consenso si sostiene in sentenza che quando riguarda i dati di un soggetto terzo rispetto all’utente (e questo è il caso, dato che il nocumento per il trattamento illecito si è verificato a carico del ragazzo disabile) deve essere ottenuto dall’utente stesso e non dal provider.

L’omessa o inidonea informativa, invece, è punita non dall’articolo 167 ma dall’articolo 161 del Codice in materia di protezione dei dati personali che stabilisce che «la violazione delle disposizioni di cui all’articolo 13 è punita con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro». È certo che la vicenda non è destinata a concludersi adesso e questa sentenza sarà, probabilmente, riformata in appello. Quello che rimane da augurarsi è che una volta riconosciuta l’esistenza di principi dettati dalla legge e dal buon senso, come quello della generale irresponsabilità dei provider e dell’obbligo per il singolo utente di rispettare i dati di terzi che raffigura nei contenuti che diffonde online, non si facciano passi indietro ma avanti. E che la soluzione che si scelga di adottare, in caso di problemi, non sia quella di volere trovare un colpevole per forza ma un equilibrio, quello sì, a tutti i costi.