Garante per la protezione
    dei dati personali

[v. Comunicatistampa 17 luglio 200718 maggio 2007 e 13 marzo 2008]

INTERNET - CASOPEPPERMINT: ILLECITO ''SPIARE'' GLI UTENTI CHE SCAMBIANO FILE MUSICALI E GIOCHI

GARANTE PER LA PROTEZIONEDEI DATI PERSONALI

NELLA riunione odierna, in presenza delprof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti e del dott. Giovanni Buttarelli, segretario generale;

VISTE le recenti ordinanze con le qualiil Tribunale di Roma –come richiesto da questa Autoritą – harigettato alcuni ricorsi con i quali le societą Peppermint Jam Records GmbH (diseguito, Peppermint), casa discografica con sede in Germania e Techland sp. z.o.o. (di seguito, Techland), societą che elabora e commercializza giochielettronici avente sede in Polonia, intendevano ottenere da taluni fornitori diservizi di comunicazione elettronica la comunicazione delle generalitą disoggetti ritenuti responsabili di aver scambiato file protetti dal diritto d'autore tramite reti peerto-peer;

RILEVATO che tali ricorsi si basavanosull'attivitą svolta per conto e su autorizzazione delle predette societą daLogistep AG (di seguito, Logistep), societą svizzera che, attraversoun'attivitą di monitoraggio delle reti peer-to-peer effettuata tramite un software proprietario, aveva individuato numerosi indirizziIp i cui titolari erano stati considerati responsabili della predetta condottaillecita;

VISTA la nota del 25 maggio 2007 con laquale l'Autoritą ha avviato accertamenti volti a verificare la liceitą e lacorrettezza dei trattamenti di dati personali svolti dalle predette societą,alle quali Ź stato quindi chiesto di comunicare ogni informazione edocumentazione utile per valutare le modalitą con le quali, anche avvalendosidell'attivitą di altri soggetti, sono stati concretamente raccolti e utilizzatii dati personali di utenti identificati o identificabili; rilevato che con talenota si Ź chiesta, altresď, collaborazione e cooperazione alle autoritą diprotezione dei dati personali dei Paesi nei quali risultano stabilite lesocietą medesime (Repubblica federale tedesca, Polonia e Svizzera);

VISTE le note del 18 giugno e del 5luglio 2007 con le quali l'avv. Otto Mahlknecht, che ha curato gli interessidelle societą Peppermint e Techland, nel richiamare le deduzioni formulate neidiversi procedimenti giudiziari, ha fornito altri elementi conoscitivi sulfunzionamento del software utilizzato da Logistep nell'attivitą svolta suincarico delle altre due societą, allegando la perizia di un esperto delsettore;

VISTA la nota del 19 giugno 2007 con laquale Logistep ha fornito altre informazioni in merito alla propria attivitą eha comunicato l'avvio di un'attivitą di collaborazione con l'autoritą svizzeradi protezione dati finalizzata a verificare la liceitą dell'attivitą svolta;

VISTA la comunicazione del 20 giugno 2007con la quale l'autoritą polacca per la protezione dei dati ha rappresentato diaver effettuato un accertamento ispettivo e di aver rilevato che Techland nonha svolto direttamente le attivitą necessarie per individuare le persone chescambiano illecitamente su reti peer-to-peer il software da essa sviluppato, e che tali attivitą sono state svolte, su propriaautorizzazione, da Logistep, nonché da Logistep Polska, e curate poi dallostudio legale italiano dell'avv. Otto Mahlknecht;

VISTA la nota del 22 giugno 2007dell'autoritą per la protezione dei dati personali per la Bassa Sassonia;

VISTO il Codice in materia di protezionedei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito, "Codice") e, in particolare, gli artt. 11, 13 e 122 delCodice;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

RELATORE il dott. Mauro Paissan;

PREMESSO

1.  Oggetto delprovvedimento
Il presente provvedimento ha per oggetto la liceitą ecorrettezza del trattamento di dati personali relativi a utenti identificabilioperanti su reti peer-to-peer (diseguito, anche "p2p") che Ź stato effettuato a cura dapprima diLogistep AG e Logistep Polska su autorizzazione di Peppermint e Techland e,poi, presso il predetto studio legale italiano. Tale trattamento Ź avvenuto indue fasi:

a) la prima, Ź consistita nella raccoltae nell'elaborazione automatizzata, anche nell'ambito di banche dati, diinnumerevoli informazioni di carattere personale estratte tramite retipeer-to-peer per mezzo di un software denominato "file sharing monitor" (di seguito, fsm) utilizzato da Logistep;
b) la seconda, si Źbasata sulla richiesta all'autoritą giudiziaria italiana in sede civile diordinare a taluni fornitori di servizi di comunicazione elettronica di rivelarele generalitą degli intestatari degli interessati. A seguito di alcune primepronunce del Tribunale di Roma che hanno provveduto in tal senso (cfr. causa Peppermint c/ Wind telecomunicazioniS.p.A., ordinanza del 18 agosto 2006 confermata, in sede di reclamo cautelaredella Wind, con ordinanza del 22 settembre 2006 e, attualmente, in attesa cheil giudice determini le modalitą di attuazione dell'ordinanza di accoglimento;causa Peppermint c/Telecom Italia S.p.A., ordinanza del 28/29 novembre 2006,riformata in sede di reclamo della Peppermint con ordinanza del 9 febbraio 2007), il predetto legale ha inviato diverse centinaia dilettere a persone individuate quali intestatari di una linea di collegamento aInternet. Con tali lettere si Ź contestata la violazione dei diritti derivantidalla produzione di fonogrammi e si Ź proposta una risoluzione bonaria,alternativa anche alla denuncia in sede penale, basata sul rispetto di alcunecondizioni comprensive di un versamento di 330 euro.

Il presente provvedimento non riguarda,invece, la connessa questione oggetto piĚ specificamente delle predettecontroversie instaurate presso il Tribunale di Roma nelle quali si Ź costituitoanche il Garante e in cui, a modifica del primo orientamento giurisprudenzialesopramenzionato, il Tribunale ha statuito che i fornitori di servizi dicomunicazione elettronica, allo stato della legislazione vigente, non possonocomunicare in sede giurisdizionale civile a Peppermint e Techland i nominatividegli interessati ritenuti responsabili di violazioni del diritto d'autore inrete. Ciė, stante la specifica disciplina della conservazione dei dati ditraffico, prevista solo per finalitą di accertamento e repressione di reati(art. 132 del Codice; cfr. causaPeppermint e Techland c/Wind Telecomunicazioni S.p.A.,ordinanza 14 luglio 2007;causa Peppermint e Techland c/ Telecom Italia S.p.A.,ordinanza 14 luglio 2007;causa Peppermint c/ Wind telecomunicazioni S.p.A., ordinanza 26 ottobre 2007; cfr., anche, comunicato stampa del 17 luglio 2007).

Tale profilo della comunicazione dei datidi traffico Ź stato esaminato, da ultimo,  dalla Corte di giustizia delleComunitą europee la quale si Ź pronunciata su una questione per molti aspettisimile (sentenza 29 gennaio 2008, pronunciata nella causa C-275/06 Promusicaec/ Telefonica de Espana Sau).

La Corte ha confermato che il dirittocomunitario consente agli Stati membri di circoscrivere all'ambito delleindagini penali o della tutela della pubblica sicurezza e della difesa nazionale-a esclusione, quindi, dei processi civili- il dovere di conservare e mettere adisposizione i dati sulle connessioni e il traffico generati dallecomunicazioni effettuate durante la prestazione di un servizio della societądell'informazione. La Corte ha rilevato che anche i dati di traffico conservatiper finalitą di fatturazione non possono essere utilizzati in "controversiediverse da quelle insorgenti tra i fornitori e gli utilizzatori, relative aimotivi della memorizzazione dei dati avvenuta per attivitą previste dalledisposizioni [dell'art. 6 della direttiva 2002/58/Ce]" (cfr.art. 123 del Codice); da ciė, ha escluso la possibilitą che tali dati potesseroessere messi a disposizione per controversie civili relative ai diritti diproprietą intellettuale (cfr. punto 48 della sentenza; artt. 15, n. 2, e 18della direttiva 2000/31/Ce relativa a taluni aspetti giuridici dei servizidella Societą dell'informazione, in particolare il commercio elettronico, nelmercato interno; artt. 8, nn. 1 e 2 direttiva 2001/29/Ce sull'armonizzazione ditaluni aspetti del diritto d'autore e dei diritti connessi nella societądell'informazione; art. 8 direttiva 2004/48/Ce sul rispetto dei diritti diproprietą intellettuale; artt. 17, n. 2 e 47 Carta dei diritti fondamentalidell'Unione europea).

2. Risultanze istruttorie efunzionamento del software fsm
Nelle centinaia di lettere inviate a utenti inItalia, il legale che ha agito per conto di Peppermint ha dichiarato che sullabase dei risultati acquisiti grazie al predetto software "antipirateria" appositamente realizzato, ritenuto di assolutaaffidabilitą e attendibilitą, Ź stato possibile accertare che:

0.     ciascun destinatario dellelettere aveva violato il diritto d'autore a partire dalla linea di reteInternet risultante nella rispettiva titolaritą, mettendo indebitamente filemusicali a disposizione di terzi;

0.     ciė, risultava avvenuto medianteun software di condivisionecontemporanea di file (c.d. peer-to-peer) che altri utenti risultavano aver utilizzato per connettersi al p.c.dei destinatari delle lettere e per scaricare i file musicali da una cartella aquesto dedicata.

Lo scambio di file via Internet rientranella nozione di "comunicazione" anche quando ha per oggetto contenuti protetti dal diritto d'autore,tenuto conto che la nozione stessa include lo "scambio o latrasmissione di informazioni", "tramiteun servizio di comunicazione elettronica accessibile al pubblico", tra "un numero finito di soggetti" (cfr.art. 2, lettera d), primo periodo, della direttiva 2002/58/CE e art. 4, comma1, lett. l) del Codice). Quest'ultimo riferimento tende a distinguere l'ambitodelle "comunicazioni private" da quello delle "comunicazioni al pubblico". La circostanza che il sistema peer-to-peer consental'accesso a un numero potenzialmente elevato di utenti non rende "infinito", o del tutto indeterminabile, il numero dei soggettidella comunicazione. Quest'ultima, Ź infatti rivolta non a una plateaindistinta di utenti, ma a soggetti delimitati che possono essere identificati.Manca, tra l'altro, la simultaneitą e l'unicitą della trasmissione che sonocaratteristiche qualificanti di una "comunicazione al pubblico" (come Ź nel caso del "servizio diradiodiffusione" -c.d. broadcasting-, espressamente escluso dall'ambito applicativo della nozione dicomunicazione elettronica: cfr.,anche, art. 4, comma 2, lett. a) del Codice).

L'attivitą di ricognizione condotta daLogistep risulta essersi focalizzata su due importanti reti p2p, GNUtella eeDonkey e utilizzando il sistema software fsm, sviluppatointegrando e modificando software liberamente disponibili sulla rete per collegarsia reti p2p.

Il software fsmconsente:

a) usuali operazioni effettuabili tramitei comuni client, eccettuata lacondivisione di fileeventualmente scaricati dalla rete;
b) l'archiviazione a scopo didocumentazione di tutte le informazioni usualmente caratterizzate da "volatilitą", perché non necessarie una volta che la trasmissionedei file Ź avvenuta;
c) dicorrelare le attivitą sulle reti p2p di un determinato utente al variaredell'indirizzo Ip assunto, nonché del provider utilizzato (il clock del programma risulta sincronizzato con una sorgenteesterna, mentre viene tenuta traccia dell'identificativo Guid, generato al momento dell'installazione dei client).

In sostanza, il software fsmpermette di tenere traccia della disponibilitą in rete di un certo "contenuto"; di verificarne l'effettiva possibilitą diacquisizione, effettuandone lo scaricamento (download), ovvero la copia in rete dalle aree di condivisionedegli utenti che ospitano quel contenuto verso i propri computer; diverificarne la segnatura digitale con algoritmo SHA1 o MD5 (in dipendenza dalprotocollo p2p utilizzato); di controllarne la diffusione, verificandol'esistenza di altre condivisioni presuntivamente riferibili a una pregressaattivitą di "download"(sul presupposto che la quasi totalitą degli utenti che condividono unospecifico contenuto lo abbiano a loro volta acquisito da un'altra fonte nellarete, tranne eventualmente il soggetto che originariamente lo abbia messo perla prima volta in condivisione, con una specifica segnatura digitale).

In particolare, il sistema fsm consente la raccolta dei seguenti dati: indirizzi Ipdell'offerente, il nome e il valore Hash del file, la misure del file, l'user name, il Guid, la data e l'ora del download.

In altre parole, come emerge dalla stessaperizia prodotta dall'avv. Mahlknecht, il software fsmaccerta da chi, e quando, viene offerto quale file per un downloading e da chi, quando e per quanto tempo vieneeffettivamente copiato tale file;riconosce i tentativi dei partecipanti di sistemi di condivisione file di modificare il loro indirizzo Ip; organizza taliinformazioni in una banca dati.

Anche se non risulta in atti che ilsistema fsm svolga attivitąintrusive o installazioni di software o di altri componenti sul terminale dell'utente che partecipa al filesharing, e sebbene non risultinoallo stato significativi elementi di diversitą nelle modalitą di funzionamentodi tale software rispetto ainormali client che agiscono sullereti p2p, il trattamento svolto da Logistep su incarico di Peppermint eTechland non puė comunque ritenersi lecito.

3. Profili di illiceitą e non correttezzadel trattamento
Il trattamento in questione Ź stato inizialmenteeffettuato a partire da un Paese (la Svizzera), dotata di una legge diprotezione dei dati e che ha ratificato la Convenzione di Strasburgo n.108/1981, e la cui autoritą di protezione dei dati ne ha gią dichiarato, perquesta parte, l'illiceitą.

La Préposé fédéral ą la protection desdonne et ą la transparence (PFPDT),con una recente pronuncia adottata all'esito di un procedimento avviato anchesu impulso di questa Autoritą, ha ritenuto che il trattamento svolto daLogistep su incarico di Peppermint e Techland e che ha riguardato ancheinformazioni memorizzate su p.c. di utenti italiani, ha violato alcuni princďpifondamentali della legge federale sulla protezione dei dati personali(decisione del 9 gennaio 2008).

E' risultato in particolare violato ilprincipio di liceitą (in ragione del fatto che la raccolta dei dati Ź stataeffettuata in mancanza di una base legale esplicita). Si Ź ritenuto in secondoluogo violato il principio di finalitą (in quanto la registrazione sistematicadei dati degli utenti ha perseguito scopi diversi da quelli tipici delle reti peer-to-peer). Non sono stati, altresď, rispettati i princďpi dibuona fede e trasparenza, in quanto la raccolta dei dati Ź avvenuta senza chegli interessati potessero esserne consapevoli (sia per le circostanze nellequali la raccolta Ź avvenuta, sia perché non informati) e i dati possono esserestati raccolti all'insaputa di abbonati che non sono, necessariamente, isoggetti coinvolti nello scambio dei dati. Infine, Ź risultato violato ilprincipio di proporzionalitą (in quanto il diritto alla segretezza dellecomunicazioni Ź risultato limitabile solo nell'ambito di un bilanciamento conun diritto di pari grado e, quindi, allo stato, non per l'esercizio diun'azione civile).

Non risultano in atti elementi piĚspecifici di valutazione delle modalitą di trattamento di dati che Ź statoeffettuato a cura di Logistep Polska, il quale, qualora si sia svolto con lemodalitą sopraindicate, si Ź posto anch'esso in violazione dei princďpi ditrasparenza, finalitą, correttezza e buona fede richiamati sia dallaConvenzione di Strasburgo, sia dalla direttiva 95/46/Ce e dalla stessadisciplina nazionale di protezione dati (cfr. art. 5 Conv. n. 108/1981 cit., art. 6 direttiva95/46/Ce).

I trattamenti in esame, effettuati inmodo massivo e capillare per un periodo di tempo prolungato e nei riguardi diun numero elevato di soggetti, hanno consentito di tenere traccia analiticadelle operazioni compiute da innumerevoli, singoli utenti relativamente aspecifici contenuti protetti dal diritto d'autore.

Per le modalitą con le quali la raccoltadei dati Ź stata svolta, si Ź configurata un'attivitą di monitoraggio vietata asoggetti privati dalla direttiva 2002/58/Ce (art. 5; cfr. art. 122 del Codice).

Le reti p2p sono finalizzate allo scambiofra utenti di dati e file perscopi sostanzialmente personali, mentre il software fsm"non Ź destinato allo scambio di dati, ma al monitoraggio ed alla ricercadi dati, che utenti di reti P2P mettono a disposizione a terzi" (cfr. nota del 5 luglio 2007 dell'Avv. Otto Mahlknecht).I dati che gli utenti mettono in rete possono essere utilizzati per le finalitąper le quali tale pubblicazione avviene (cfr., fra gli altri, Provv. del 14 giugno 2007, doc. web n. 1424068). L'utilizzodei dati dell'utente delle reti peer-to-peer puė, quindi, avvenire per le finalitą sue proprie enon gią, in modo non trasparente, per scopi ulteriori, quali quelli perseguitida Logistep, Peppermint e Techland.

Il trattamento Ź risultato viziato anchesotto il profilo della trasparenza e della correttezza, posto che non Ź statafornita alcuna informativa preliminare agli utenti. Dalla descrizione resadalle societą sul funzionamento del software fsm si Ź potuto rilevare che, mentre gli indirizzi Ipsono stati acquisiti da un terzo rispetto agli utenti (il tracker), gli altri dati (ossia, i file offerti in condivisione, data e ora del download) sono stati raccolti direttamente presso gliinteressati.

Il Tribunale di Roma ha riconosciuto, pertali informazioni, la natura di "dati personali" relativi a utenti identificabili i quali dovevanoessere informati di tale ulteriore e inatteso trattamento (v. anche Pareredel Gruppo Art. 29 del 18 gennaio 2005 in materia di diritti di proprietąintellettuale, nel quale Ź stato rilevato che nessun dato personale puė essereraccolto senza che l'interessato sia correttamente e preventivamente informato,in maniera trasparente, sulle eventuali modalitą di controllo e sull'identitądel soggetto che lo effettua, prima che il trattamento abbia inizio e prima chel'interessato fornisca i dati personali attraverso il download ).

4. Conclusioni
Come premesso, unaseconda fase del trattamento dei dati connesso all'invio delle lettere Źavvenuta nel territorio dello Stato, utilizzando dati personali relativi a personeidentificabili e raccolti illecitamente.

Si rende pertanto necessario, adefinizione della complessa istruttoria preliminare, provvedere in ordineall'ulteriore utilizzazione di tali dati sul territorio dello Stato. Ciė, senzache occorra proseguire gli accertamenti per verificare anche se, e in qualemisura, la disciplina italiana di protezione dei dati trovi in tutto o in parteapplicazione anche alla prima fase di raccolta automatizzata dei dati, allaluce della disposizione normativa secondo cui la legge italiana si applica aitrattamenti effettuati da soggetti stabiliti nel territorio di un Paese nonappartenente all'Unione europea il quale impieghi, per il trattamento,strumenti situati nel territorio dello Stato (quali i p.c. degli utenti italiani, dai quali Logistep hachiaramente tratto gli indirizzi Ip: art. 5 del Codice).

In ragione delle predette risultanze nonpossono che confermarsi le valutazioni di illiceitą e non correttezza giątratteggiate nelle memorie di costituzione in giudizio nelle controversiedinanzi al Tribunale di Roma –e note alle controparti –, econseguentemente disporsi il divieto nei confronti delle predette tre societądi ulteriore utilizzazione dei dati personali raccolti illecitamente, nonché laloro cancellazione entro il termine del 31 marzo 2008.

TUTTO CIŮ PREMESSO ILGARANTE

ai sensi degli artt. 143, comma 1, lett.c) e 154, comma 1, lett. d) del Codice dispone, nei termini di cui inmotivazione, nei confronti di Peppermint Jam Records GmbH, Techland sp. z. o.o.e Logistep AG, il divieto dell'ulteriore trattamento dei dati personalirelativo a soggetti ritenuti responsabili di aver scambiato file protetti dal diritto d'autore tramite reti peer-to-peer e ne dispone la cancellazione entro il termine del31 marzo 2008.

Roma, 28 febbraio 2008

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Buttarelli