La responsabilità del fornitore di un servizio wifi (come, ad esempio, il proprietario di un esercizio commerciale che rende aperta la connessione ai propri clienti) per illeciti civili o penali posti in essere dagli host (o ospiti della rete) tramite quest’ultima è un tema che ha fatto e continua a far discutere, anche alla luce della normativa poco chiara e lacunosa.
Le problematiche sono sorte soprattutto a causa dei vari (ed errati) accostamenti fatti tra i gestori di reti wifi aperte e gli Internet service provider, che sono tenuti, invece, ad una serie di oneri da rispettare per evitare di essere corresponsabili assieme agli autori degli illeciti.
Molti gestori di esercizi commerciali (e coloro che mettono direttamente a disposizione dei clienti supporti elettronici sui quali navigare in internet) appaiono, vista la normativa frastagliata e “oscura”, restii al concedere la connessione ai propri clienti per evitare problemi.
Tuttavia, in forza delle innovazioni normative intercorse (con il decreto Milleproroghe del 2010 e con il successivo decreto del Fare 2013) e secondo quanto affermato dallo stesso Garante della Privacy, si può tranquillamente confermare che in capo a tali soggetti non grava alcun tipo di responsabilità.
Nell’articolo andrò ad analizzare cosa prevedeva la disciplina precedentemente e cosa hanno previsto le successive modifiche che ci sono state per evidenziare l’assenza di responsabilità in capo a coloro che offrono gratuitamente il proprio servizio wifi.
La disciplina nel tempo
La vecchia disciplina, da rinvenire nelle disposizioni del decreto Pisanu (D.L. 144/2005 convertito in L. 155/2005), nata sotto la spinta della paura di attentati terroristici dopo il 2001, imponeva a coloro che offrivano l’utilizzo di reti wifi in luoghi pubblici (come gestori di Internet Point o di alberghi) vari obblighi per l’identificazione dei clienti che usufruivano del servizio, in modo tale da poter ricollegare l’identità del cliente alla navigazione posta in essere (art. 7 comma 4 “Con decreto del Ministro dell’interno di concerto con il Ministro delle comunicazioni e con il Ministro per l’innovazione tecnologica, sentito il Garante per la protezione dei dati personali, da adottarsi entro quindici giorni dalla data di entrata in vigore della legge di conversione del presente decreto, sono stabilite le misure che il titolare o il gestore di un esercizio in cui si svolgono le attività di cui al comma 1, è tenuto ad osservare per il monitoraggio delle operazioni dell’utente e per l’archiviazione dei relativi dati, anche in deroga a quanto previsto dal comma 1 dell’articolo 122, e dal comma 3 dell’articolo 123 del decreto legislativo 30 giugno 2003, n. 196, nonchè le misure di preventiva acquisizione di dati anagrafici riportati su un documento di identità dei soggetti che utilizzano postazioni pubbliche non vigilate per comunicazioni telematiche ovvero punti di accesso ad Internet utilizzando tecnologia senza fili.”).
Tuttavia, questo sistema restrittivo è decaduto con i decreti enunciati in precedenza, che hanno eliminato ogni obbligo d’identificazione del cliente da parte del gestore della rete wifi, liberandolo, dunque, da ogni tipo di responsabilità.
La precedente disciplina era stata aspramente criticata anche a causa della sua scarsa efficacia pratica, perché risultava difficile ipotizzare una responsabilità, anche quale reato omissivo improprio: ciò in quanto difficilmente si poteva sostenere che un’eventuale identificazione effettuata dal gestore fosse utile ad evitare il compimento d’illeciti.
Questa tesi era stata sostenuta vivamente in diverse occasioni anche dalla Corte di Cassazione (es. sent. 6046/2009), la quale aveva affermato che l’identificazione dell’utente fosse solamente una prova che il reato era stato compiuto tramite quel supporto elettronico, ma difficilmente avrebbe potuto impedire il compimento del reato.
L’attuale regolamentazione
Con l’attuale regolamentazione (D.L. 205/2010 convertito in L. 10/2011 e D.L. 69/2013 convertito in L. 10/2011), dunque, non grava più sugli esercenti alcun obbligo d’identificazione degli utenti che si servono della rete aperta (non vi è più la necessità di utilizzare software ad hoc a tal fine), né oneri di controllo sulle sessioni.
L’articolo 10 del decreto del Fare recita, infatti, espressamente che: “l’offerta di accesso alla rete internet al pubblico tramite tecnologia wifi non richiede l’identificazione personale degli utilizzatori”.
In ogni caso, il gestore della rete ha comunque la facoltà di continuare ad identificare i clienti che si servono del wifi; tuttavia, per fare ciò, sarà necessaria la sottoscrizione da parte dell’utente del consenso al trattamento dei propri dati ai sensi dell’articolo 13 codice della privacy (per non incorrere nelle sanzioni previste all’articolo 161 dello stesso).
Allo stesso modo, viene meno anche una serie di obblighi che prima gravava sul gestore di un’attività commerciale nella quale il servizio wifi costituisce solamente una funzione accessoria e non principale dell’attività.
Anche la Corte di Giustizia UE si è espressa più volte sulla questione, affermando l’irresponsabilità del gestore della rete a meno che lo stesso non abbia partecipato attivamente al compimento dell’attività illecita.
Tuttavia, sebbene non sia ipotizzabile alcun tipo di responsabilità, possono esserci comunque conseguenze negative per l’esercente che omette di proteggere in qualche modo la rete.
Infatti, in una recente pronuncia la Corte di Giustizia UE (sent. 15 settembre 2016 nella causa C-484/14) ha affermato che è possibile che un’autorità amministrativa o giurisdizionale chieda l’inibitoria della rete tramite la quale è stato commesso l’illecito, se questo riguarda la violazione di copyright: il titolare di un’opera illecitamente diffusa sul web, infatti, potrebbe agire per ottenere un’ingiunzione che impedisca la prosecuzione della violazione ed il rimborso delle relative spese legali sostenute.
Dunque, anche se non vi è la possibilità che l’esercente incorra in responsabilità di carattere civile e penale, è comunque consigliabile adottare misure d’identificazione degli utenti (a detta della Corte “le misure adottate dal destinatario di un’ingiunzione devono avere l’effetto di impedire o, almeno, di rendere difficilmente realizzabili consultazioni non autorizzate dei materiali protetti e di scoraggiare seriamente gli utenti di Internet che ricorrono ai servizi del destinatario di tale ingiunzione dal consultare tali materiali messi a loro disposizione”) per far fronte alle lacune normative ed evitare così scomode ingiunzioni da parte delle autorità nazionali.
Dott. Luigi Dinella
