Si pubblica qui di seguito la risposta ufficiale inviata da FAPAV al Garante per la Protezione dei Dati Personali a seguito della richiesta di informazioni dello stesso in merito alla controversia FAPAV/TELECOM.

Spett.le

I siti in questione (come ad esempio http://webstreamingmania.blogspot.com/ oppure http://filmstreamingdb.blogspot.com/ ) non ospitano i contenuti illegali ma funzionano come una sorta di vetrina che rimanda, in un solo click, ai siti di hosting.

FAPAV ha segnalato a Telecom Italia nella propria diffida e – di fronte alla colpevole inerzia della stessa – anche all’Autorità giudiziaria, quali sono i siti di riferimento italiani che svolgono attività illegale fungendo da ponte verso siti di hosting che ospitano i contenuti illegali di opere protette dal diritto d’autore. Non è stata realizzata nessuna investigazione sul traffico telematico degli utenti italiani in relazione a questo tipo di siti: si è voluto mettere in evidenza l’esistenza di siti vetrina illegali che potrebbero essere filtrati con la collaborazione dell’ISP, come già avvenuto per alcuni di essi come www.vedogratis.com oppure, più di recente, www.youandus.it, sottoposto a sequestro dalla Guardia di Finanza di Venezia.

L’illecito dei siti di riferimento citati, non consiste soltanto nel rinviare ai siti di hosting che mettono a disposizione opere protette dal diritto d’autore: la maggior parte di queste pagine web, infatti, opera in maniera professionale cercando di monetizzare le visite generate dagli utenti e approfittando della visibilità di tali opere e lucrando attraverso la vendita di spazi pubblicitari o altri espedienti (donazioni etc..).

FAPAV non ha ottenuto e non può ottenere alcuna corrispondenza tra le URL delle pagine web citate e l’attività telematica degli internauti italiani, poiché soltanto l’ISP può fornire questo tipo di informazioni circa l’attività dei suoi abbonati.

·       Nel secondo caso, a quanto consta, alcuni associati FAPAV hanno fatto ricorso ad una società specializzata nella protezione dei diritti d’autore, incaricata di fornire statistiche dei download a partire dai cosiddetti “fake” (o “files decoy”, file che contengono il trailer di un film ripetuto in serie) diffusi da territorio straniero nelle reti peer-to-peer per simulare i file di opere protette dal diritto d’autore. Lo strumento utilizzato altro non è che una versione del software open source eMule,  modificato in modo da visualizzare la ripartizione dei download per ISP.

Si allega un’immagine che raffigura le informazioni che vengono visualizzate grazie a questo strumento, semplicemente inserendo il link eDonkey che si desidera cercare, come avviene su un normalissimo eMule.

E’ importante segnalare che, come appare chiaro dalla schermata annessa, nessun indirizzo IP viene visualizzato o stoccato per ottenere l’informazione riguardante l’ISP utilizzato. L’IP degli utenti che scaricano, infatti, viene anonimizzato istantaneamente attraverso un procedimento rapido ed immediato. L’informazione che ne deriva permette di effettuare una richiesta di tipo WHOIS al fine di ottenere le informazioni sui paesi e sulla ripartizione dei download per Internet Service Provider.

L’anonimizzazione di un indirizzo IP.

Un indirizzo IP è composto da 4 serie numeriche aventi al massimo 3 cifre: «213.41.78.45», dove ogni serie numerica rappresenta un Byte e quindi un totale di 32 bit.

Ogni indirizzo IP può essere suddiviso in due campi: i primi Byte identificano la rete (Network ID), gli ultimi l’host, tale suddivisione ha portato alla classificazione degli indirizzi in tre classi principali (A, B, C), le quali si differenziano in funzione di quanti dei quattro byte identificano la rete e quanti l'host.

L’identificazione della posizione di un computer (host) in una rete Internet o rete locale è possibile unicamente grazie all’integrità dell’indirizzo.

La società specializzata effettua un’identificazione parziale dell’indirizzo IP limitandosi al riconoscimento completo unicamente della rete (Network ID) e sostituendo l’ultima serie numerica con uno zero Ø (per esempio da «213.41.78.45» a «213.41.78.0»).

L’indirizzo IP viene quindi trasformato in modo irreversibile in un “dato anonimo”, ovvero a un dato che in origine, o a seguito del trattamento, non può essere associato ad un interessato o identificato o identificabile (definizione art.1 del Codice in materia dei dati personali).

L’identificazione del Paese o città di appartenenza di un indirizzo IP parziale è possibile poiché, analogamente ai prefissi telefonici, le autorità di attribuzione delle classi di indirizzi (ICANN, Ripe NCC…) attribuiscono determinati intervalli di indirizzi IP a diverse zone geografiche.

La finalità di questo trattamento istantaneo è soltanto quella di poter realizzare delle statistiche sui download dei file decoy diffusi nelle reti peer-to-peer, procedimento che ben si discosta dal trattamento di indirizzi IP richiesto nel caso di un’infrazione.

FAPAV non è - né è mai stata intenzionata ad essere - in possesso degli indirizzi IP dei clienti di Telecom Italia, né degli abbonati di qualunque altro Internet Service Provider attivo sul territorio italiano.

·       Più in generale, FAPAV, consapevole del dibattito a livello europeo sulla natura giuridica degli indirizzi IP, sente di dover revocare seriamente in dubbio la generica affermazione di Telecom Italia secondo cui, anche nella fattispecie in esame, l’indirizzo IP sarebbe genericamente un “dato personale”. FAPAV intende infatti sottoporre all’esame del Garante una essenziale distinzione: nei fatti l’indirizzo IP è un dato personale solo e soltanto per l’operatore di telecomunicazioni che lo genera, essendo impossibile a qualunque altro soggetto collegare quel numero ad un utente individuato. La “identificabilità” richiesta dalla definizione di cui all’art. 4, comma 1, lett. b) Codice Privacy deve essere valutata alla stregua di dati di fatto e giuridici: e, in difetto di un qualsivoglia registro pubblico o accessibile al pubblico (come nel caso della BDU delle utenze telefoniche), chi abbia per caso acquisito un indirizzo IP non potrà mai identificare l’utente se non con la collaborazione dell’operatore di rete. Tale circostanza non richiede complesse spiegazioni tecniche: essa è comprovata dal fatto che nei casi Peppermint e Promusicae veniva chiesto al Giudice di ordinare all’operatore di telecomunicazioni di associare l’indirizzo IP ad un utente. Dunque chi aveva l’indirizzo IP non aveva modo – se non per collaborazione spontanea o  iussu iudicis – di individuare l’utente.  

·       In ogni modo, come risulta chiaro dalla procedura sopra descritta, i dati aggregati riportati nel giudizio de quo risultano essere stati acquisiti a seguito della adozione di tutte le misure necessarie per evitare qualsiasi trattamento di dati personali, come evidenziato nei punti precedenti e come avvalorato dalla circostanza che la finalità specifica della attività di cui si tratta è tesa esclusivamente a porre un freno al fenomeno della violazione del diritto d’autore sulle opere cinematografiche nella sua generalità, chiamando il fornitore di connettività maggiormente coinvolto alle sue responsabilità.

A tale riguardo, anche il Gruppo di Lavoro ex art. 29 Direttiva 46/95 ha  in più occasioni ricordato che quando i dati raccolti non possono essere definiti quali “dati personali” la Direttiva non è applicabile, con la susseguente assenza di responsabilità per chi ha raccolto tali informazioni non personali (Vedi il Parere 4/2007 del 20 aprile 2007 sulla nozione di “dati personali”).

Per altro verso, con specifico riferimento ai “dati personali” (che nel nostro caso non sono l’oggetto della raccolta dei dati aggregati), il Garante Europeo ha ritenuto ammissibile il loro trattamento (si v. il parere del 2 settembre 2008, paragrafo 35) nel contesto di situazioni di violazioni dei diritti d’autore al fine della preparazione di attività giudiziarie, in ciò incluse le azioni legali.

6. La tutela giudiziaria dei diritti

Evidenziato dunque che non risulta esservi alcun trattamento di dati personali, neanche nella fase di raccolta dei dati aggregati, vi sono peraltro una molteplicità di altri elementi che l’Autorità intestata non potrà ignorare al fine di contestualizzare la fattispecie.

In primo luogo si deve evidenziare come i dati aggregati siano stati utilizzati nel giudizio de quo con la  chiara finalità di far valere in sede giudiziaria i diritti sull’opera cinematografica (art. 24, comma 1, lett. f Codice Privacy). 

A ciò si aggiunga la circostanza che i dati aggregati non riguardano una generica attività di ‘downloading’ bensì  quella relativa solo e soltanto a quelle determinate pellicole la cui circolazione è sicuramente illecita.

I dati aggregati sono poi utilizzati per ottenere, per via giudiziaria, la cessazione di una attività altamente lucrativa posta in essere da siti che deliberatamente si pongono, fattualmente e giuridicamente, al di fuori della sfera d’azione effettiva della giurisdizione italiana impedendo qualsiasi forma di legittimo esercizio del diritto costituzionale (art. 24) di azione a tutela dei propri diritti.

Il concorso nell’illecito di Telecom Italia dipende anche dalla sua co-interessenza agli utili generati dal traffico di ‘downloading’ illegale, dal quale Telecom Italia consegue un lucro.

7. Gli orientamenti della Corte di Giustizia delle Comunità Europea

Contrariamente a quanto vorrebbe far intendere Telecom Italia nella sua ‘segnalazione’ gli orientamenti comunitari sono decisamente contrari ai suoi assunti.

Per incominciare, nella sentenza Promusicae, al paragrafo 54, esplicitamente afferma: “Occorre pertanto constatare che la direttiva 2002/58 non esclude la possibilità, per gli Stati membri, di prevedere l’obbligo di divulgare dati personali nell’ambito di un procedimento civile”. Anche se al para. 55 chiarisce che la stessa Direttiva non “vincola gli Stati membri a prevedere siffatto obbligo”, la CGCE rimette al giudice nazionale la valutazione del corretto bilanciamento degli interessi in gioco.

Tale statuizione ha un decisivo rilievo a fortiori nel procedimento pendente avanti al Tribunale di Roma, nel quale non è versato alcun dato personale nè vi è alcuna istanza  volta ad ottenere la divulgazione di dati personali. Vi è solo la defatigatoria eccezione – priva come si è visto di base fattuale – secondo cui i dati aggregati citati in atti sarebbero stati ottenuti sulla base di dati personali trattati in assenza dei requisiti di legge. Ed il tentativo di escludere dalle prove processuali dati che personali non sono, nè sono mai stati.

Ma la Corte di Giustizia non è fermata qui: nel caso LSG c. Tele 2 le sue determinazioni sono ancor più nette. Per comodità dell’Autorità e onde evitare rinvii a documenti esterni, pare opportuno riportare testualmente le parti motivazionali dell’ordinanza. In primo luogo essa fornisce l’interpretazione autentica dei paragrafi 54 e 55 della sentenza Promusicae prima riportati:

<< 29      Occorre quindi rispondere alla seconda questione dichiarando che il diritto comunitario, in particolare l’art. 8, n. 3, della direttiva 2004/48, in combinato disposto con l’art. 15, n. 1, della direttiva 2002/58, non osta a che gli Stati membri istituiscano un obbligo di comunicazione a soggetti privati terzi di dati personali relativi al traffico al fine di consentire l’avvio di procedimenti civili per violazioni del diritto d’autore. Tuttavia, il diritto comunitario impone che gli Stati membri, all’atto della trasposizione delle direttive 2000/31, 2001/29, 2002/58 e 2004/48, abbiano cura di fondarsi su un’interpretazione delle medesime tale da garantire un giusto equilibrio tra i diversi diritti fondamentali in gioco. Peraltro, in sede di applicazione delle misure di trasposizione delle suddette direttive, le autorità e i giudici degli Stati membri devono non solo interpretare il loro diritto nazionale in modo conforme a tali direttive, ma anche fare attenzione ad evitare di fondarsi su un’interpretazione di queste ultime che entri in conflitto con i diritti fondamentali o con gli altri principi generali del diritto comunitario, come il principio di proporzionalità.>>

La decisione prosegue:

<< 38      La Tele2 afferma, in particolare, che gli intermediari dovrebbero essere in grado di porre fine alle violazioni del diritto d’autore. Orbene, dato che i fornitori di accesso a Internet non dispongono di alcun controllo giuridico o sostanziale sui servizi ai quali l’utente accede, essi non sarebbero in grado di porre fine a dette violazioni e, quindi, non rientrerebbero nella nozione di «intermediario» ai sensi della direttiva 2001/29.

39      Occorre anzitutto osservare che la causa all’origine della citata sentenza Promusicae aveva ad oggetto la comunicazione, da parte della Telefónica de España SAU, società la cui attività consiste, tra l’altro, nella fornitura di servizi di accesso a Internet, dell’identità e dell’indirizzo fisico di talune persone alle quali essa forniva tali servizi ed il cui indirizzo IP, nonché la data e l’ora di connessione, erano noti (sentenza Promusicae, cit., punti 29 e 30).

40      È pacifico che la società Telefónica de España SAU era un fornitore di accesso a Internet, come risulta dalla questione deferita, nonché dai fatti della causa principale all’origine della citata sentenza Promusicae (sentenza Promusicae, cit., punti 30 e 34).

41      Pertanto, allorché al punto 70 della citata sentenza Promusicae la Corte ha dichiarato che le direttive 2000/31, 2001/29, 2002/58 e 2004/48 non impongono agli Stati membri, in una situazione come quella oggetto della causa principale, di istituire un obbligo di comunicare dati personali per garantire l’effettiva tutela del diritto d’autore nel contesto di un procedimento civile, essa non ha escluso, sic et simpliciter, la possibilità per gli Stati membri di stabilire un dovere di informazione a carico dei fornitore di accesso a Internet, in applicazione dell’art. 8, n. 1, della direttiva 2004/48.

42      Si deve altresì rilevare che, in forza dell’art. 8, n. 3, della direttiva 2001/29, gli Stati membri vigilano a che i titolari dei diritti possano chiedere un provvedimento inibitorio nei confronti degli intermediari i cui servizi siano utilizzati da terzi per violare un diritto d’autore o diritti connessi.

43     Orbene, un fornitore di accesso che si limiti a consentire agli utenti l’accesso a Internet, anche senza proporre altri servizi né esercitare un controllo giuridico o sostanziale sul servizio utilizzato, fornisce un servizio suscettibile di essere utilizzato da un terzo per violare un diritto d’autore o un diritto connesso, dato che procura all’utente la connessione che gli consentirà di violare detti diritti.

44      Del resto, in base al cinquantanovesimo ‘considerando’ della direttiva 2001/29, i titolari di diritti devono avere la possibilità di chiedere un provvedimento inibitorio contro un intermediario che consenta violazioni in rete da parte di un terzo contro opere o altri materiali protetti. Orbene, è certo che il fornitore di accesso, allorché consente l’accesso alla rete Internet, permette che l’abbonato e un terzo operino siffatte violazioni in rete.

45    Siffatta interpretazione è avvalorata dalla finalità della direttiva 2001/29 che, come risulta in particolare dal suo art. 1, n. 1, mira a garantire la tutela giuridica effettiva del diritto d’autore e dei diritti connessi nell’ambito del mercato interno. Infatti, qualora si escludesse dalla nozione di «intermediario», ai sensi dell’art. 8, n. 3, di tale direttiva, un fornitore di accesso, unico detentore dei dati che consentano di identificare gli utenti che abbiano violato i suddetti diritti, la tutela prevista dalla medesima direttiva subirebbe una riduzione sostanziale.>>

Se dunque FAPAV legittimamente potrebbe chiedere al Tribunale di Roma nei confronti di Telecom Italia un ordine per avere i nominativi degli utenti che sulla sua rete stanno scaricando illegalmente opere protette, è più che legittimo che essa fondi la sua domanda su dati aggregati  dei soggetti, non identificati nè identificabili, che stanno quotidianamente effettuano l’attività illecita.

8. La rilevanza penale dell’attività posta in essere (e che si intende impedire)

La “segnalazione” di Telecom Italia  non solo è priva di qualsiasi base giuridica e fattuale, ma costituisce la migliore evidenza di un concorso quantomeno materiale  in una attività penalmente illecita. Sul concorso si è già espressa la CGCE nell’ordinanza appena citata. Sulla dimensione penale pare inutile richiamare all’Autorità la recente decisione della Corte di Cassazione (sez. III penale) 29.9.-23.12.2009 n. 49437, la quale nell’affermare la rilevanza penale dell’attività svolta dal noto sito The Pirate Bay (fra quelli ai quali FAPAV chiede di impedire l’accesso) ha affermato la piena liceità dei provvedimenti inibitori in tal senso: << Sussistendo gli elementi del reato di cui all’art. 171 ter, comma 2, lett a-bis) [l. d’a.] il giudice può disporre il sequestro preventivo del sito web il cui gestore concorra nell’attività penalmente illecita di diffusione nella rete Internet di opere coperte da diritto d’autore, senza averne diritto, richiedendo contestualmente che i provider del servizio di connessione Internet escludano l’accesso al sito al limitato fine di precludere l’attività di illecita diffusione di tali opere>>.

Ed in ossequio ai principi dell’unitarietà della giurisdizione e dell’effettività della tutela richiesta dal diritto comunitario, il provvedimento inibitorio consentito al giudice penale, non può certo essere negato al giudice civile, tanto più se funzionalmente competente per l’applicazione di quella specifica disciplina settoriale.

In conclusione, la FAPAV reputa – a dir poco – singolare che all’Associazione di categoria che denuncia la dimensione (milioni!) degli illeciti compiuti a suo danno, il concorrente nell’illecito chieda conto di come abbia ottenuto quei dati, rovesciando il diritto: il derubato sul banco degli accusati, il complice del ladro con la toga della pubblica accusa!

*    *    *

La FAPAV confida di aver esaurientemente risposto ai quesiti posti nella lettera di cui in premessa.  Fin d’ora, peraltro, in considerazione della importanza delle questioni in gioco e del non condivisibile tentativo di utilizzare la disciplina dei dati personali come mero paravento per occultare attività penalmente e civilmente illecite che arrecano gravissimi danni economici e diffondono una pericolosa cultura dell’illegalità (“su Internet tutto è permesso, tanto nessuno ci scopre”), la FAPAV chiede di essere audita, anche per fornire al Garante per la protezione dei dati personali, cui rinnova i sensi della sua alta stima e deferente rispetto, tutti gli ulteriori elementi che fossero ritenuti necessari.