Smart contracts
Si sente spesso parlare di “smart contract”, ma non è sempre chiara l’utilità e gli ambiti di applicazione dei medesimi.
Partiamo col dire che, in breve, lo smart contract non è altro che un protocollo di operazioni computerizzato che esegue i termini e le condizioni di un contratto. Lo scopo di tali strumenti è quello di automatizzare e semplificare alcuni processi.
Si pensi ad esempio al caso delle polizze assicurative per eventuali ritardi dei voli aerei; normalmente, al verificarsi dell’evento assicurato (i.e. il ritardo), l’assicurato deve rivolgersi alla compagnia assicurativa al fine di ricevere, all’esito dell’istruttoria e salvo contestazioni, l’indennizzo previsto con tempi variabilmente lunghi.
Lo scopo dello smart contract in questo caso è quello di automatizzare il processo di denuncia del danno e liquidazione dell’indennizzo. In concreto, assicurato e assicuratore negoziano i termini del contratto (ad es., la gravità del ritardo, l’entità del ristoro, etc), e poi traducono le clausole negoziate in istruzioni informatiche (algoritmi), che vengono “attivate” in maniera automatica al verificarsi dell’evento. Semplificando, l’indennizzo arriverà dunque automaticamente sul conto dell’assicurato non appena l’informazione relativa al ritardo dell’aereo verrà registrata dallo smart contract.
Tuttavia, affinché lo smart contract realizzi l’effetto di automaticità ricercato, è necessario che venga comunicato il verificarsi dell’evento dedotto in contratto, vale a dire il ritardo dell’aereo. Senza questo fondamentale passaggio, infatti, le clausole non potrebbero attivarsi e resterebbero solamente una linea di codice su un dispositivo isolato. Proprio per tale motivo, l’affidabilità della fonte di informazioni cui viene legata l’esecuzione delle clausole è un aspetto cruciale nella fase di negoziazione tra le parti, poiché una volta selezionata non sarà più possibile contestarne l’affidabilità e l’imparzialità nel corso del rapporto.
Una volta che la fase di negoziazione si è conclusa, si pone poi il tema della correttezza dell’implementazione dello smart contract e della sua verificabilità. Per diverso tempo, infatti, la diffusione su larga scala di questi strumenti è stata frenata dalla mancanza di un terzo intermediario che certificasse l’effettiva rispondenza delle linee di codice – la cui scrittura è necessariamente affidata ad un tecnico – alla volontà delle parti, così come l’inalterabilità delle istruzioni nel tempo e la loro pronta verificabilità da tutti i soggetti interessati. Questa funzione, che nei contratti tradizionali è svolta da figure come avvocati e notai, i quali garantiscono con il proprio operato l’ufficialità di quanto pattuito e la tutela degli interessi dei propri assistiti, di per sé è estranea al mondo degli algoritmi.
Quanto sopra, tuttavia, è cambiato con l’avvento della blockchain. Quest’ultima, infatti, è un registro di informazioni raggruppate in “blocchi” che è quasi impossibile alterare e che è accessibile potenzialmente a qualunque soggetto interessato a verificarne il contenuto.
Inserendo lo smart contract in un blocco della catena tramite il versamento di una “commissione” in criptovaluta, si realizza dunque il duplice risultato della verificabilità delle informazioni inserite (che quindi vengono sottratte all’esclusiva sfera di controllo del programmatore) e della certezza di tali informazioni, che non possono essere alterate e manipolate ad insaputa di una delle parti. In sostanza, la blockchain svolge la funzione di un notaio digitale, archiviando e cristallizzando la volontà delle parti al momento della stipula del contratto. Successivamente, al verificarsi dell’evento ivi dedotto, i c.d. “oracle” – blocchi che servono a trasmettere le informazioni provenienti dal mondo alla blockchain – lo comunicano al contratto registrato, il quale eseguirà le istruzioni per cui è stato programmato.
Oltre al campo assicurativo, altri ambiti in cui questi strumenti possono trovare applicazione sono l’M&A – si pensi ad esempio alla possibilità di ottenere immediatamente l’accredito delle somme presenti su un conto escrow al verificarsi dell’evento dedotto nell’atto di acquisizione – nonché l’ambito finanziario, dove il grado di informatizzazione è già molto elevato e dove le informazioni rilevanti già vengono scambiate attraverso applicazioni informatiche che hanno un effetto immediato sul valore dei titoli. A titolo di esempio, il verificarsi di un evento bellico in un dato Paese provoca quasi contestualmente un crollo del valore dei relativi titoli di stato, così come le dichiarazioni dei presidenti delle banche centrali vengano immediatamente registrati dal sistema finanziario risollevando o deprimendo l’andamento della borsa internazionale nell’arco di una giornata.
Dagli esempi riportati sopra si intuisce l’indubbia utilità degli smart contract in taluni ambiti, sebbene sia ancora allo stato prematuro affermare che essi sono destinati a sostituire i contratti “tradizionali”.
Questo perché non tutte le clausole di un contratto possono essere applicate e interpretate attraverso automatismi (si pensi alle clausole che rinviano agli usi), né tutti i contratti prevedono obbligazioni che possono essere eseguite da un computer. Basti pensare alle clausole che subordinano il rinnovo del contratto al superamento di un periodo prova – necessariamente legato anche a valutazioni di natura personale non sempre codificabili ex ante – ovvero ad eventi di forza maggiore che per loro natura non possono essere disciplinati ab origine.
A ciò si deve aggiungere che non è ancora chiaro come sia possibile modificare uno smart contract che contenga degli errori o che non corrisponda più esattamente alla volontà delle parti, specie dal momento della sua registrazione su blockchain. Il paradosso che si verrebbe a creare in tali casi sarebbe l’esecuzione automatica e potenzialmente “infinita” di un assetto di interessi non più gradito agli stessi contraenti. Anche tale aspetto rende poco probabile che gli smart contract possano essere utilizzati per regolare ad esempio rapporti di durata, proprio perché l’intrinseca incertezza collegata al mutare delle condizioni nel tempo risulterebbe incompatibile con la determinazione ex ante di ogni possibile conseguenza contrattuale.
Ferme tali importanti considerazioni, c’è tuttavia da evidenziare il grande vantaggio in termini di abbattimento dei costi di transazione che una diffusa adozione di questa innovazione tecnologica può portare. Questo soprattutto in tutti quei casi dove le esigenze da soddisfare non richiedono una complessa negoziazione; non è quindi inverosimile che gli smart contract inizino ad essere implementati in tutti quei casi dove le parti prediligono la rapidità e la certezza dell’esecuzione automatica di un’obbligazione rispetto alla rinegoziabilità o alla flessibilità del rapporto.
In conclusione, non è in discussione l’utilità e il risparmio economico che si possono ottenere attraverso l’utilizzo degli smart contract. Certo è che, come spesso capita per qualsiasi innovazione tecnologica, tali vantaggi saranno concretamente percepiti solo quando vi sarà una significativa integrazione e adozione nella nostra società di tali strumenti.
Sin d’ora è possibile però affermare che gli smart contract troveranno ampio spazio e applicazione specialmente con riferimento a quei rapporti standard dove è richiesto un contributo minimo in termini di creatività e personalizzazione delle soluzioni contrattuali.
Sotto diverso profilo, una concreta sfida per i professionisti del diritto potrebbe essere quella di saper integrare tali strumenti all’interno dei contratti tradizionali al fine di migliorare e potenziare l’efficacia della tutela legale garantita. Questo sì potrebbe essere un obiettivo realmente “smart” da raggiungere.
Libero trasferimento dei dati personali verso la Repubblica di Corea: in arrivo una storica decisione di adeguatezza
Il Comitato europeo per la protezione dei dati personali (“European Data Protection Board”) ha emanato il proprio parere in merito alla bozza di decisione di adeguatezza pubblicata dalla Commissione Europea lo scorso 16 giugno 2021 (disponibile qui) relativa al trasferimento dei dati verso la Repubblica di Corea.
Si tratta di una decisione che, una volta entrata in vigore, permetterà agli operatori economici del mercato europeo – pensiamo, in primis, ai fornitori di servizi di comunicazione elettronica, ai cloud provider e alle multinazionali - di trasferire liberamente i dati personali dall’Europa alla Repubblica di Corea senza dover adottare né le garanzie adeguate (ad es., “Standard Contractual Clauses”) né le condizioni supplementari (ad es. il consenso degli interessati) richieste dal capo V del Regolamento UE n. 679/2016 (“GDPR”).
Infatti, ai sensi degli artt. 44 e ss. del GDPR, i trasferimenti di dati personali verso i Paesi non appartenenti allo Spazio Economico Europeo o verso un’organizzazione internazionale sono consentiti a condizione che l’adeguatezza del Paese terzo o dell’organizzazione sia espressamente riconosciuta tramite decisione della Commissione.
Esaminiamo quindi in dettaglio le osservazioni del Comitato europeo contenute nel summenzionato parere.
In primo luogo, si è osservato come il quadro normativo in materia di protezione dei dati personali vigente in Repubblica di Corea sia sostanzialmente allineato a quello europeo, soprattutto per quanto concerne le principali definizioni presenti nel testo di legge (“dati personali”, “trattamento” e “interessato”), i requisiti di liceità del trattamento, i principi generali e le misure di sicurezza.
Questo è stato possibile non solo grazie alla presenza di un’efficace legge privacy (i.e., “Personal Information Protection Act” o “PIPA” entrato in vigore nel 2011) bensì anche in ragione di una serie di “notifiche” (tra cui la “Notifica n. 2021-1”) emanate dall’Autorità garante per la protezione dei dati personali coreana (i.e., “Personal Information Protection Commissioner” o “PIPC”) che hanno il merito di interpretare e rendere agevolmente comprensibili le disposizioni del PIPA.
Inoltre, come rilevato dal Comitato, la Repubblica di Corea è parte di diversi accordi internazionali che garantiscono il diritto alla riservatezza dei dati personali (tra cui la “Convenzione internazionale sui diritti civili e politici”, la “Convenzione sui diritti delle persone con disabilità” e la “Convenzione ONU sui diritti dell’infanzia”), il che fornisce un’ulteriore conferma dell’attenzione che la Repubblica di Corea rivolge ormai da diversi anni alla protezione delle informazioni personali.
L'analisi del Comitato si è poi focalizzata su alcuni aspetti chiave del PIPA che differiscono leggermente rispetto a quanto previsto dal GDPR e che richiedono quindi maggiore attenzione - quali, in particolare, l’assenza di un generale diritto degli interessati di revocare il consenso fornito, ad esempio, per attività di marketing.
Secondo il Comitato, nonostante l’art. 37 del PIPA conferisca agli interessati il diritto di chiedere la “sospensione” del trattamento dei propri dati personali – diritto esercitabile anche in caso di direct marketing, come espressamente chiarito dal Considerando 79 alla decisione di adeguatezza della Commissione europea - nel PIPA il diritto alla revoca del consenso viene menzionato solo in due specifici casi:
- relativamente ai trasferimenti di dati personali effettuati nell’ambito di operazioni societarie straordinarie (i.e., fusioni, acquisizioni, ecc.);
- con riferimento al trattamento dei dati per finalità di marketing da parte dei fornitori di servizi di comunicazione elettronica.
Il Comitato ha quindi ritenuto necessario richiamare l’attenzione della Commissione sui summenzionati aspetti affinché analizzi più approfonditamente le conseguenze che, alla luce del quadro normativo coreano, potrebbe comportare per gli interessati la mancanza di un simile diritto e chiarisca, nella decisione di adeguatezza, l’effettiva portata del summenzionato diritto alla “sospensione” del trattamento.
In secondo luogo, il Comitato ha rilevato che, ai sensi dell’art. 58 del PIPA, una parte sostanziale di tale testo di legge – compresi i capi III, IV e V, che disciplinano rispettivamente i principi generali per il trattamento dei dati, le misure di sicurezza e i diritti degli interessati – non si applica a tutta una serie di trattamenti di dati personali (tra i quali rientrano quelli necessari per far fronte ad urgenti esigenze di tutela della sicurezza e della salute pubblica).
Il Comitato osserva che il termine “urgenti” presente nel PIPA esprime un concetto estremamente ampio che necessita di essere limitato e contestualizzato, anche con l’ausilio di esempi pratici, al fine di non compromettere la riservatezza dei dati degli interessati.
Inoltre, il Comitato, alla luce dell’attuale contesto emergenziale provocato dalla pandemia da Covid-19, ha richiamato l’attenzione della Commissione sulla necessità di garantire un livello di protezione adeguato anche ai dati personali trasferiti in Repubblica di Corea per finalità connesse alla tutela della salute pubblica.
Ciò in quanto le informazioni “sensibili” relative ai cittadini europei (ad es., lo stato di vaccinazione), una volta giunte in Repubblica di Corea, dovrebbero ricevere un livello di protezione almeno pari a quello previsto dal GDPR. In questo senso, il Comitato ha quindi invitato la Commissione a monitorare attentamente l’applicazione delle deroghe previse dall’art. 58 del PIPA.
Infine, il Comitato ha ritenuto opportuno focalizzare la propria attenzione sulla possibilità di accedere ai dati personali dei cittadini europei da parte delle autorità pubbliche coreane per finalità di sicurezza nazionale. A tal proposito, manca uno specifico obbligo in capo alle autorità coreane di informare gli interessati dell’avvenuto accesso ai loro dati personali, specie quando gli interessati non siano cittadini coreani.
Tuttavia, pur in assenza di tale obbligo, il bilanciamento tra le esigenze di tutela della sicurezza nazionale e la protezione dei diritti e delle libertà fondamentali degli interessati può rinvenirsi nella stessa legge coreana che tutela la riservatezza delle comunicazioni interpersonali (the “Communications Privacy Protection Act” – cfr. anche il Considerando 187 alla decisione di adeguatezza) ai sensi della quale l’accesso ai dati personali dei cittadini europei per finalità di sicurezza nazionale può essere effettuato solo in presenza di determinati presupposti di legge (ad es., qualora si tratti di comunicazioni intercorse tra “agenzie, gruppi o cittadini stranieri sospettati di essere coinvolti in attività che minaccino la sicurezza della nazione”).
Il Comitato europeo osserva che, ad ulteriore garanzia della riservatezza delle comunicazioni oggetto di accesso da parte delle autorità coreane, la costituzione sudcoreana sancisce principi essenziali in materia di protezione dei dati applicabili proprio a questo settore.
Alla luce del favorevole parere emesso dal Comitato europeo per la protezione dei dati personali è certamente auspicabile, oltre che probabile, l’adozione di una decisione di adeguatezza da parte della Commissione relativamente alla Repubblica di Corea.
In un’economia globale sempre più data driven basata sul valore economico delle informazioni personali e sullo scambio dei dati, tale decisione di adeguatezza aprirebbe le porte alla liberalizzazione degli scambi commerciali con l’oriente anche da un punto di vista privacy.
Un intervento normativo, quello oggetto del presente contributo, tanto dovuto quanto atteso, che si pone certamente sulla scia dell’“Accordo di libero scambio” tra UE e Corea del Sud in vigore dal 2011 che è stato in grado di aumentare esponenzialmente gli scambi bilaterali tra i due paesi (basti pensare che nel 2015 il valore commerciale delle transazioni si attestava intorno ai 90 miliardi di euro).
L’auspicio è naturalmente quello che, con il passare degli anni, le valutazioni di adeguatezza da parte della Commissione Europea abbiano ad oggetto sempre più ordinamenti in modo che il trasferimento internazionale di dati personali possa rappresentare un reale e concreto strumento in grado di favorire l’economia e l’innovazione in tutto il mondo.
Insight pubblica sulla rivista "Mitteilungen der deutschen Patentanwälte"
Insight Studio Legale è lieto di annunciare che è ora online all’interno della rivista Mitteilungen der deutschen Patentanwälte l’articolo di Alessandro Merolla intitolato “La dottrina degli equivalenti nella violazione dei brevetti: la Corte di Cassazione italiana si pronuncia sulla rilevanza della prosecution history dei brevetti nel quadro giuridico europeo”.
Table of contents November issue
Esports: una sfida globale
Nel 2020 l’industria dei videogiochi ha generato solo in Italia ricavi pari a 2.2 miliardi di euro, con una crescita del 21,9% rispetto al 2019 e del 100% rispetto al 2016[1]. Nel mondo, il fatturato generato dall’industria dei videogiochi nel 2020 ha raggiunto quota 159.3 miliardi di dollari[2], di fatto arrivando quasi a superare i ricavi dell’industria del cinema e dello sport nordamericano considerati insieme[3].
Per quanto riguarda specificamente il settore degli esports, ovvero competizioni e tornei con un pubblico di spettatori in cui singoli giocatori o squadre si sfidano ai videogiochi più popolari, i ricavi generati a livello globale hanno raggiunto 947,1 milioni di dollari nel 2020 e si prevede che nel 2021 supereranno il miliardo di dollari, con un trend di crescita annuo pari al 14,5%[4]. Sulla base di recenti dati risulta inoltre che in Italia ci siano oltre 1,6 milioni di persone appassionate ad eventi e competizioni di esports[5].
Tali dati evidenziano come il mondo del gaming si stia sempre più consolidando quale punto fermo della realtà economica del nostro paese. Basti pensare al numero di eventi e iniziative organizzati solo nel 2021, un anno in cui l’Italia ha intrapreso un lento percorso di ripresa dopo il traumatico evento della pandemia che l’ha colpita duramente.
Infatti, in ordine cronologico, si è appena conclusa la recentissima “Milan Games Week & Cartoomics”, ovvero l’ambiziosa unione della Milan Games Week e di Cartoomics in unico evento dedicato ai videogiochi, agli esports e al digital entertainment in generale, oltre naturalmente al mondo del fumetto. Tra i tanti momenti videoludici in programma, spiccano inoltre le finali di due importanti tornei nazionali[6], nonché una serie di incontri come “in my shoes”, un'iniziativa organizzata da PG Esports per discutere e riflettere di come si possano lanciare efficacemente nuovi modelli di inclusione all'interno dell'industria del gaming.
È inoltre ancora in corso la Amazon University Esports, torneo disputato tra le varie università italiane e sponsorizzato da Amazon con in palio diversi premi, oltre alla possibilità per i vincitori di accedere successivamente ai tornei internazionali. Proprio questa iniziativa mostra come questo settore abbia finalmente attirato l’interesse anche delle istituzioni italiane che, in partnership con grandi colossi dell’industria tech, ne hanno colto il potenziale in termini di visibilità e autopromozione.
Tutti questi esempi mostrano come gli esports e in generale il variegato mondo del gaming rappresentino un settore con un altissimo potenziale economico. Ed infatti i tornei già esistenti sono numerosissimi e continuano ad aumentare anno dopo anno. Le competenze richieste per partecipare a tali tornei sono alla portata di chiunque e questo consente il continuo ingresso di nuovi giocatori, che a loro volta alimentano la platea di soggetti potenzialmente interessati all’acquisto di nuove console, oggetti virtuali da usare durante il gioco, pubblicità mirate.
Esistono inoltre moltissime tipologie di torneo, dai tornei online a quelli organizzati in location fisiche, e il loro successo dipende principalmente dalla capacità degli organizzatori di creare eventi interessanti e in grado di intrattenere giocatori e spettatori. Si pensi ad esempio alla possibilità di ospitare concerti e sfilate di moda nel contesto dei tornei, come dimostra la collaborazione tra Louis Vuitton e Riot Games in occasione dei mondiali di League of Legends del 2019.
La crescita del settore appare dunque esponenziale sotto ogni prospettiva, e i grandi investitori se ne stanno rendendo conto.
Proprio i rilevanti interessi economici in gioco rendono tuttavia evidente l’assenza di un contesto regolatorio ad hoc, che sappia tutelare da un lato gli investitori e dall’altra giocatori e spettatori. Al momento, infatti, non esiste in Italia una specifica disciplina del fenomeno in questione.
Chi si avvicina a questo settore deve pertanto affidarsi a professionisti che sappiano comprendere le singole problematiche, dai diritti d’autore sui nuovi giochi sviluppati sino alla redazione di un contratto di sponsorship.
A tal proposito, sono certamente da seguire con interesse le recenti iniziative promosse dal CONI (Comitato Olimpico Nazionale Italiano) per il riconoscimento degli esports quali discipline sportive a tutti gli effetti.
È infatti evidente che, una volta ottenuto il riconoscimento ufficiale quale disciplina sportiva, il passo successivo per gli esports sarà quello di individuare e prevedere regole condivise e concepite specificamente per tale settore. Tale coraggiosa iniziativa è stata tuttavia oggetto di critiche ed infatti è stato sollevato da più parti il dubbio di una superficiale assimilazione degli esports alle canoniche competizioni sportive, gestite da entità nazionali e soggette a regole rigide che non sembrano essere in linea con un contesto creativo e innovativo, qual è quello dei videogiochi.
Il nostro auspicio è che il legislatore colga quanto prima l’importanza di garantire un contesto regolatorio chiaro e di facile applicazione per un settore in continuo cambiamento, che sappia cioè dettare chiare direttive su ciò che è ammissibile – si pensi ad esempio al fiorente mercato delle scommesse sportive – e allo stesso tempo sappia cogliere le peculiarità del contesto tecnologico che ha permesso agli esports di diventare un fenomeno globale.
[1] https://www.censis.it/sites/default/files/downloads/Rapporto%20Integrale.pdf
[2] https://www.wepc.com/news/video-game-statistics/
[3] https://www.marketwatch.com/story/videogames-are-a-bigger-industry-than-sports-and-movies-combined-thanks-to-the-pandemic-11608654990
[4] https://newzoo.com/insights/trend-reports/newzoos-global-esports-live-streaming-market-report-2021-free-version/
[5] Vedi supra alla nota 1
[6] PG Six Nationals Winter 2021 e Italian Rocket Championship
Direttiva Copyright: una sfida ancora aperta
Il percorso che sta portando all’attuazione della direttiva Copyright è stato lungo e pieno di battute d’arresto. Infatti, solo lo scorso 6 agosto, con due mesi di ritardo rispetto al termine ultimo fissato dalla stessa direttiva, il Consiglio dei Ministri ha approvato la bozza di Decreto Legislativo di attuazione della medesima, ora nuovamente al vaglio del Parlamento.
Uno degli elementi che ha contribuito a rallentare l’iter legislativo di questo nuovo testo è l’obiettivo che la direttiva si propone di perseguire, vale a dire quello di riequilibrare i rapporti, da un lato, tra le grandi piattaforme digitali che diffondono e aggregano contenuti creativi e, dall’altro, quelli tra produttori, autori ed esecutori di tali contenuti.
In questa prospettiva sono state quindi introdotte diverse novità, qui di seguito elencate, che hanno suscitato non poche perplessità:
- Articolo 13: creazione di un organismo imparziale che assista i creatori di opere audiovisive nella negoziazione di accordi di licenza con le piattaforme di servizi video on demand (come Netflix, Prime Video, Disney Plus, etc.). Si tratta quindi di uno strumento a protezione degli autori e dei loro diritti che ha quale unico scopo quello di limitare l’enorme potere negoziale che le piattaforme digitali sfruttano a proprio vantaggio nei confronti di tali soggetti;
- Articolo 14: libero utilizzo degli atti di riproduzione di opere delle arti visive che siano divenute di dominio pubblico poiché risulta scaduta la protezione del diritto d’autore. In buona sostanza, se cade in pubblico dominio un’opera delle arti visive, come ad esempio un quadro o un film, ed essa viene riprodotta in un video o con qualsiasi altra forma di comunicazione da parte di un terzo, quest’ultimo non potrà vantare alcun diritto su tale atto di riproduzione, salvo che esso costituisca una creazione intellettuale autonoma dell’autore e proteggibile come tale;
- Articolo 15: introduzione di un nuovo diritto connesso a favore degli editori di pubblicazioni giornalistiche in ragione del quale gli stessi dovranno essere remunerati per lo sfruttamento online (riproduzione e messa a disposizione del pubblico) di tali pubblicazioni da parte delle piattaforme digitali, come ad. es. Google, Bing, Yahoo; il medesimo articolo prevede inoltre l’obbligo degli stessi editori di corrispondere una quota ragionevole dei proventi realizzati in favore degli autori delle pubblicazioni. Proprio tale equa remunerazione ha suscitato non poche perplessità e ciò in quanto il decreto in esame invece di limitarsi a prevedere il diritto degli editori di negoziare una remunerazione (come previsto dal testo della Direttiva), ha previsto l’obbligo di negoziare un equo compenso in tal senso. Peraltro, è stato previsto che qualora le parti in questione non riescano a trovare un accordo sul punto, sarà l’AGCOM (Autorità per le garanzie nelle comunicazioni) a fungere da “arbitro” nell’individuazione di tale compenso;
- Articolo 17: obbligo dei servizi di condivisione di contenuti online, come Facebook, YouTube, Telegram, di ottenere da parte dei titolari dei diritti l’autorizzazione alla diffusione di contenuti protetti sulle loro piattaforme. I servizi di condivisione saranno dunque responsabili in prima persona per le violazioni dei diritti d’autore commesse attraverso le proprie piattaforme, a meno che non dimostrino di aver ottenuto l’autorizzazione da parte dei titolari dei diritti alla diffusione delle opere protette o quantomeno di aver compiuto “best efforts” per ottenerla o per rimuovere i contenuti non autorizzati.
L’utilizzo del termine “best efforts” per valutare se la condotta delle piattaforme sia sanzionabile o meno creerà certamente diversi problemi soprattutto di natura interpretativa; per il momento questo termine è stato tradotto nel decreto in esame come l’obbligo di adottare i “massimi sforzi”, con ciò prediligendo un’interpretazione estensiva e quantitativa dello stesso che impone e richiede quindi un maggiore sforzo e controllo da parte delle piattaforme;
- Articolo 17: introduzione di meccanismi di reclamo e di ricorso celere per gli utenti qualora sorgano controversie in merito alla rimozione dei contenuti o alla disabilitazione degli account da parte delle piattaforme, così come obblighi informativi a carico delle piattaforme stesse in merito ai presupposti e condizioni per la rimozione dei contenuti caricati.
Le novità elencate sopra costituiscono senza dubbio una grande sfida e ciò in virtù degli interessi economici coinvolti nella questione. L’obiettivo della direttiva è certamente coraggioso ed infatti essa si propone di cambiare le regole del gioco al fine di ridistribuire il valore generato dall’attività delle piattaforme e “restituirlo” ai creatori e autori dei contenuti.
Sotto questo profilo, l’obbligo degli editori di accordarsi con le grandi piattaforme di aggregazione di informazioni come Google per ottenere un compenso per l’utilizzo delle proprie pubblicazioni è una modifica legislativa storica, ma che rischia di sancire la predominanza dei poli editoriali che posseggono le risorse economiche per sostenere tale negoziazione. Tale squilibrio risulta ancor più accentuato se si considera che l’art. 1, c. I, lett. b 8) del decreto identifica tra i criteri di quantificazione di tale compenso quelli del maggior numero di visualizzazioni o la notorietà dell’editore stesso.
Del pari rilevante è la previsione del “massimo sforzo” a carico delle piattaforme di condivisione nella rimozione dei contenuti illeciti caricati dagli utenti. Tuttavia, la scelta da parte del legislatore italiano di preferire il criterio quantitativo nella traduzione del termine “best efforts”, che sembra far riferimento al numero e alla pervasività dei controlli effettuati, non può che far presagire un rischio di rimozione indiscriminata di contenuti da parte di algoritmi di rilevazione estremamente “sensibili”, ciò che di certo contrasta con uno degli obiettivi dichiarati dalla direttiva, ovvero quello di preservare il diritto di critica e satira degli utenti. Si sarebbe viceversa potuta adottare un’interpretazione “qualitativa” di tale obbligo e cioè di un “miglior sforzo” da parte delle piattaforme, vale a dire proporzionato alla gravità delle violazioni e alla loro diffusione.
La scelta del Governo italiano di discostarsi in parte dal testo – e dallo spirito – della direttiva è stata perciò oggetto di un lungo dibattito tanto da aver sollevato in più di un soggetto il dubbio di un eccesso di delega o del c.d. “gold plating”, vale a dire il fenomeno per cui il legislatore nazionale si spinge al di là di quanto richiesto dalla normativa europea, pur mantenendosi formalmente all’interno del perimetro della propria discrezionalità.
Si auspica tuttavia che nella versione definitiva del decreto il legislatore italiano ponga maggiore attenzione alla finalità di armonizzazione che tutte le direttive europee perseguono, circostanza che impone nel caso in esame di adottare e definire un “approccio europeo” comune al diritto d’autore digitale dei prossimi anni. Tale approccio consentirà infatti ai singoli Paesi dell’Unione di poter poi efficacemente interloquire con i c.d. “giganti del web” e finalmente assumere contro quest’ultimi una posizione di forza (che ad oggi è mancata del tutto).
Il Garante Privacy a tutela dei “rider”: quanto cose ci insegna la sanzione milionaria irrogata a Foodinho?
A prima vista, potrebbe sembrare una delle usuali sanzioni irrogate dal Garante Privacy negli ultimi tempi. In realtà l’ordinanza di ingiunzione del Garante Privacy emessa lo scorso 10 giugno nei confronti di Foodinho costituisce un’importante opportunità per ripercorre, in meno di 50 pagine, i principi fondamentali previsti dal GDPR e dalla normativa privacy vigente in materia di trattamento dei dati dei dipendenti (e non solo).
Difatti, l’attività ispettiva del Garante Privacy - svolta in collaborazione con l’Agencia Española de Protección de Datos (AEPD) nel rispetto della procedura, ancora non del tutto conclusa, di cooperazione e assistenza reciproca prevista dal GDPR - ha avuto ad oggetto i trattamenti dei dati di circa 18 mila rider di Foodinho effettuati nel contesto di nuove tecnologie innovative basate (anche) su algoritmi automatizzati.
Emergono nel provvedimento interessanti spunti circa il rispetto dei principi fondamentali del trattamento e dei principi di privacy by design e by default, l’adozione di idonee misure di sicurezza e la predisposizione di una DPIA nel contesto di trattamenti e processi decisionali automatizzati, la corretta tenuta di un Registro del trattamento e l’individuazione dei tempi di conservazione dei dati.
Riteniamo quindi utile riassumere schematicamente qui di seguito le innumerevoli condotte illecite e infrazioni accertate nel provvedimento del Garante, riportando altresì i passaggi più rilevanti del medesimo.
***
1. Condotta illecita: i rider non sono stati correttamente informati in merito alle concrete modalità di trattamento dei dati relativi alla loro posizione geografica, né tantomeno circa la tipologia di tutti i dati raccolti da Foodinho (ivi incluse le comunicazioni via chat/e-mail/telefono e le valutazioni espresse dai clienti).
Violazione accertata: mancato rispetto dei principi di trasparenza e correttezza del trattamento [art. 5.1, lett. a) GDPR].
Secondo il Garante: “Non rileva che i rider fossero semplicemente consapevoli dell’attività di geolocalizzazione in quanto vedono loro stessi il percorso suggerito sulla mappa dell’applicazione. Evidente è la differenza tra l’eventuale mera conoscenza della possibilità di essere geolocalizzati e la piena consapevolezza in merito allo specifico trattamento effettuato”.
2. Condotta illecita: la società non ha fornito ai rider specifiche indicazioni in merito ai tempi di conservazione di tutti i loro dati personali; inoltre, alcuni dati di geolocalizzazione venivano conservati dalla società per periodi di tempo non congrui rispetto alle finalità.
Violazione accertata: rilascio di un’informativa privacy inidonea [art. 13.2, lett. a) GDPR], mancato rispetto del principio di limitazione della conservazione dei dati [art. 5.1, lett. e) GDPR].
Secondo il Garante: “La società ha omesso di individuare distinti tempi di conservazione dei dati riferiti ai rider oggetto di trattamento in relazione alle distinte e specifiche finalità perseguite”.
3. Condotta illecita: la società non ha comunicato ai rider che i loro dati personali avrebbero potuto essere oggetto di trattamenti automatizzati, compresa l’attività di profilazione, preordinati all’assegnazione di un punteggio.
Violazione accertata: rilascio di un’informativa privacy inidonea [art. 13.2, lett. f) GDPR].
4. Condotta illecita: i sistemi informatici della società sono stati configurati in modo tale da consentire l’accesso ad un numero indiscriminato di dati personali dei rider non necessari per le finalità del trattamento, senza l’indicazione di uno specifico criterio d’accesso.
Violazione accertata: mancato rispetto del principio di minimizzazione dei dati
[art. 5.1, lett. c) GDPR], mancato rispetto dei principi di privacy by design e by default [art. 25 GDPR], mancata adozione delle misure di sicurezza [art. 32 GDPR].
Secondo il Garante: “La possibilità di accesso di default ad un numero rilevante di dati personali da parte peraltro di un numero significativo di addetti alla gestione dei sistemi con ampia gamma di mansioni relative all’operatività dei rider, non consente di assicurare “su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi”, tenuto conto dei concreti rischi occasionati dalla “perdita, dalla modifica, dalla divulgazione non autorizzata o dall'accesso, in modo accidentale o illegale, a dati personali”.
5. Condotta illecita: la società non ha effettuato una valutazione di impatto sulla protezione dei dati nonostante l’utilizzo di tecnologie (e., una piattaforma digitale) innovative per il trattamento dei dati personali dei rider per finalità di profilazione che si basano su funzioni algoritmiche (cfr. anche successivo punto 9).
Violazione accertata: mancata predisposizione di una obbligatoria valutazione d’impatto sulla protezione dei dati [art. 35 GDPR].
Secondo il Garante: “L’utilizzo innovativo di una piattaforma digitale, della raccolta e memorizzazione di una molteplicità di dati personali relativi alla gestione degli ordini compresa la localizzazione geografica e delle comunicazioni avvenute tramite chat e email nonché della possibilità di accedere al contenuto di telefonate tra i rider e il customer care, dalla effettuazione di attività di profilazione e trattamenti automatizzati nei confronti di un numero rilevante di interessati “vulnerabili” (in quanto parti di un rapporto di lavoro), presenta “un rischio elevato per i diritti e le libertà delle persone fisiche”.
6. Condotta illecita: la società non ha rispettato quanto previsto dall’art. 4 dello Statuto dei Lavoratori nonostante effettui, attraverso una pluralità di strumenti tecnologici (la piattaforma digitale, l’app e i canali utilizzati dal customer care), trattamenti di dati personali che consentono un’attività di minuzioso controllo sulla prestazione lavorativa svolta dai rider.
Violazione accertata: mancato rispetto del principio di liceità del trattamento [art. 5.1, lett. a) GDPR], mancato rispetto dell’art. 4 della L. 300/1970.
Secondo il Garante: “Si rileva che la società effettua un minuzioso controllo sulla prestazione lavorativa svolta dai rider attraverso la geolocalizzazione del dispositivo effettuata con modalità che vanno oltre quanto necessario per assegnare l’ordine in ragione della distanza del rider dal punto di ritiro e di consegna”.
“Diversamente da quanto sostenuto dalla società, la scelta del rider in merito al se e quando effettuare la prestazione non è senza conseguenze nell’ambito del rapporto di lavoro e pertanto non può definirsi “libera”.
7. Condotta illecita: mancata indicazione nel Registro del trattamento di informazioni complete ed aggiornate in merito a tutti i trattamenti di dati personali effettuati dalla società, dei termini di conservazione dei dati e delle misure di sicurezza adottate.
Violazione accertata: tenuta di un registro del trattamento incompleto [art. 30 GDPR].
8. Condotta illecita: non sono stati pubblicati e comunicati al Garante Privacy i dati di contatto del DPO nominato a livello di gruppo.
Violazione accertata: mancata pubblicazione e comunicazione dei dati del DPO [art. 37.7 GDPR].
Secondo il Garante: “Nel caso in cui il DPO venga nominato a livello di gruppo, resta fermo l’obbligo, in capo alle singole entità del gruppo in qualità di titolari o responsabili del trattamento, di pubblicare i dati di contatto del RPD e di comunicarli all’Autorità di controllo competente”.
9. Condotta illecita: sono stati posti in essere trattamenti automatizzati dei dati personali dei rider tali da incidere sulla loro possibilità di scegliere se e quando svolgere l’attività lavorativa e contestualmente non sono state adottate misure idonee per consentire ai rider l’esercizio dei loro diritti attraverso canali dedicati.
È importante notare che il Garante Privacy ha focalizzato la sua attenzione sulle conseguenze negative che l’utilizzo di algoritmi simili a quelli utilizzati dalla società può comportare per i rider, arrivando ad affermare che la scelta del rider in merito al se e quando effettuare la prestazione lavorativa non è senza conseguenze nell’ambito del rapporto di lavoro e che tale prestazione, pertanto, non può definirsi “libera”.
L’assegnazione degli ordini dei clienti è infatti gestita direttamente dalla società tramite un algoritmo che individua il rider sulla base di una pluralità di parametri (vicinanza al luogo di consegna, carica della batteria del cellulare, ecc.) e premia i rider con il maggior numero di ordini accettati e consegnati.
Violazione accertata: mancata adozione delle misure previste dall’art. 22.3 GDPR [art. 22.3 GDPR].
Secondo il Garante: “Attraverso il punteggio la società valuta pertanto l’operato del rider e produce, in tal modo, un effetto significativo sulla sua persona proponendo o negando l’accesso alle fasce orarie e la relativa possibilità di effettuare la prestazione (consegna di cibo o altri beni) oggetto del contratto”.
“Dall’esame del meccanismo di assegnazione del punteggio emerge, quindi, da un lato che la società effettua una attività di profilazione che incide in modo significativo sugli interessati determinando – mediante l’accesso agli slot - la possibilità di ricevere o meno ordini attraverso la piattaforma e dunque di ottenere una opportunità di impiego”.
“Si ingiunge alla società di conformare al Regolamento i propri trattamenti con riferimento alla individuazione di misure appropriate volte alla verifica periodica della correttezza e accuratezza dei risultati dei sistemi algoritmici, anche al fine di garantire che sia minimizzato il rischio di errori e di conformarsi a quanto stabilito dall’art. 47-quinquies, d. lgs. n. 81/2015”.
Perché il restyling del logo Insight?
La modifica della parte denominativa del segno “Insight” mediante l’inserimento di quattro pallini verdi celebra il quarto anno di attività dello Studio, che dalla sua fondazione non smette di crescere ed affermarsi nel mercato legale internazionale. L’uso del “verde”, colore del marchio precedente, è simbolo di continuità e qualità del servizio offerto, mentre il cromatismo rappresenta il dinamismo che ci caratterizza.
La creazione di questo nuovo segno distintivo al quarto anno di attività dello Studio coincide, così come già emerge ad un primo impatto visivo, con l’inizio della nostra partnership con de Dominicis & Mayer, storico studio milanese di consulenza in proprietà industriale e intellettuale. Si tratta di una vera e propria fusione in termini pratici tra expertise legale e tecnica che, unita all’esperienza trasversale di culture diverse, ci permette di offrire ai clienti un servizio a tutto tondo, al contempo preservando i vantaggi di una struttura agile.
Restyling del marchio: non è solo una questione di gusti
Negli ultimi anni abbiamo imparato a familiarizzare con i concetti di restyling del marchio e rebranding[1], basti pensare a come sono cambiati nel tempo i simboli sulle maglie delle nostre squadre preferite o a quanto appaiono diverse le attuali schermate d’accesso dei social media più usati rispetto ai loro esordi.
A volte si tratta di cambiamenti minimi, altre di stravolgimenti veri e propri. Proviamo a metterci anche dall’altra parte del tavolo e vediamo cosa può esserci dietro la decisione di rinnovare l’immagine della propria impresa e quali conseguenze, anche legali, può avere.
Partiamo innanzitutto dalle principali funzioni del marchio.
Per l’imprenditore, il marchio serve ad istituire un collegamento, nella mente del consumatore, tra un’esperienza positiva di acquisto e il soggetto che ha fornito il prodotto o il servizio, in modo che il cliente possa ripetere l’acquisto in futuro. Per il consumatore, il marchio è utile per orientarsi nella scelta tra molti prodotti della stessa categoria, sia perché sa cosa aspettarsi in termini di qualità sia perché la fiducia nel marchio gli farà impiegare meno tempo nell’individuare il prodotto che gli interessa.
Nella valutazione di una eventuale rivisitazione del proprio marchio, dunque, il suo titolare deve chiedersi se e come un restyling può facilitare od ostacolare tali funzioni. L’elemento chiave sta nel valorizzare il proprio capitale di credibilità. Un restyling è ben fatto se comunica un senso di continuità con la qualità del passato, rendendo nota la propensione dell’azienda allo stare al passo coi tempi.
D’altra parte, non sempre il cambiamento costituisce una strategia vincente: esistono alcuni casi celebri[2] in cui presunte azioni di “svecchiamento” del marchio si sono rivelate fallimentari.
I principali indicatori che rivelano l’adozione di scelte sbagliate nella fase di rielaborazione della propria immagine sono la confusione ingenerata nel consumatore e lo svilimento del credito accumulato in precedenza.
Confusione, quando il consumatore non è più in grado di riconoscere in maniera immediata se il prodotto o il servizio che sta valutando provenga da quella azienda o di un’altra. A questo riguardo, una forte discontinuità nel segno distintivo dell’azienda va ponderata attentamente: il marchio incentiva un’abitudine di consumo, che rischia di deteriorarsi se destabilizzata eccessivamente.
Svilimento della credibilità acquisita, quando il marchio in quanto tale è chiaramente riferibile alla stessa azienda, ma invece di sottolinearne il rinnovamento e la proiezione verso il futuro genera una sensazione di appesantimento e involuzione.
A questo punto, è necessario fare una distinzione importante: modificare il marchio ha infatti un impatto diverso a seconda che l’azienda interessata venda prodotti/servizi o sia un’azienda che “vive” dell’attenzione dei suoi utenti, come sono i grandi social media o i motori di ricerca.
Nel primo caso, sicuramente l’attenzione alla propria immagine, seppur importante, è comunque subordinata alla qualità ed efficienza del prodotto/servizio offerto. Nel secondo, invece, il modello di business si basa proprio sul monopolizzare l’attenzione degli utenti, perciò innovare e rendere interessante il proprio marchio diventa parte integrante della strategia aziendale.
Prima di intraprendere un’operazione di restyling è bene quindi capire le motivazioni che stanno alla base di tale scelta ed il messaggio che si intende trasmettere. Solitamente, tramite il restyling le aziende mirano da un lato ad aumentare il livello di engagement con il mondo esterno, cui si chiede, attraverso appunto l’operazione di rinnovamento, di prestare attenzione ai prodotti e servizi offerti. Dall’altro, è un utile strumento per comunicare importanti cambiamenti caratterizzanti l’azienda, come ad esempio l’ampliamento del settore di business, un nuovo impegno nel sociale, l’acquisizione di nuove tecniche industriali, etc..
Passando ora a valutarne gli aspetti giuridici, quando il restyling riguarda un marchio registrato si pone il tema della gestione della fase transitoria dal vecchio al nuovo segno.
Innanzitutto, è importante sapere che apportando delle modifiche al marchio, seppur minime, sarà necessario procedere con un nuovo deposito presso gli uffici statali e sovranazionali competenti, qualora si intenda registrarlo (scelta certamente consigliata). La decisione di procedere con un nuovo deposito porta con sé anche la necessità di chiedersi se, una volta che il marchio precedente sia arrivato alla scadenza dei 10 anni dalla registrazione, sia il caso di mantenere registrati entrambi i marchi oppure se procedere solamente con quello più aggiornato.
Certamente la protezione massima è offerta dalla registrazione, tuttavia il nostro ordinamento offre protezione anche ai marchi non registrati già noti sul mercato, i c.d. “marchi di fatto”, garantendo che non possano venire registrati marchi simili o identici. In questo senso, anche se la registrazione del marchio usato in precedenza non viene rinnovata, dimostrando l’uso e la notorietà dello stesso sarà comunque possibile ottenerne la tutela.
In aggiunta al profilo della registrazione, l’operazione di restyling dovrà essere supportata da un’adeguata ricerca di anteriorità, per evitare di incorrere in contraffazioni di segni distintivi altrui. Questo è particolarmente vero quando il rinnovamento del marchio non si limita a piccole alterazioni ma vede l’inserimento di elementi figurativi nuovi oppure di colori non usati in precedenza.
Raccontare di sé è parte integrante del fare impresa e lo strumento principe per raggiungere tale scopo è il marchio. Se dunque è essenziale cogliere l’opportunità di comunicare i cambiamenti della propria azienda attraverso un’operazione di restyling affinché questa abbia successo, è altrettanto fondamentale impiegare la dovuta cura nell’esaminarne attentamente tutti i profili, da quelli più commerciali a quelli legali.
[1] Si parla di rebranding quando i segni distintivi vengono ripensati integralmente per corrispondere ad una nuova concezione del prodotto o dell’azienda.
[2] Caso GAP: il marchio è stato ritirato subito dopo il suo rilascio perché unanimemente ritenuto un netto peggioramento rispetto al marchio storico.
Non Fungible Tokens: un’occasione unica, ma per chi?
Da qualche mese a questa parte, c’è una questione che suscita grande interesse tra i professionisti della finanza, Youtuber e le più famose gallerie d’arte: gli NFT, acronimo per “Non Fungible Tokens”.
Per comprendere cosa sono gli NFT, è necessario preliminarmente partire dalla tecnologia che vi sta alla base, ovvero la blockchain.
In estrema sintesi, per blockchain si intende un database, quindi un insieme di dati organizzati secondo criteri determinati, costituito da “blocchi”, cioè sequenze di informazioni individualmente identificabili, che invece di essere immagazzinato in un unico server centrale è distribuito in repliche identiche sui terminali di chiunque abbia installato il relativo protocollo informatico.
Chi accede e partecipa alla blockchain, che è aperta e liberamente consultabile da chiunque, può vedere una serie di informazioni, espresse in forma di sequenze numeriche, che acquistano valore in quanto sono certe e pressoché inalterabili. Questo risultato è ottenuto attraverso diversi livelli di protezione, primo fra tutti il fatto che per alterare un singolo blocco è necessario “riprogrammare” in sequenza l’intera catena, il che è reso ancora più difficile dalla presenza di strumenti crittografici.
L’inalterabilità dei singoli blocchi di informazioni garantisce l’affidabilità delle transazioni che si realizzano scambiando i blocchi, senza la necessità di un ente esterno che le certifichi o approvi preventivamente.
È chiaro, dunque, perché questa tecnologia ha trovato un primo largo utilizzo nell’ambito della moneta elettronica: ogni transazione effettuata su blockchain viene infatti registrata nei singoli blocchi, senza timore di furti o manipolazioni e in perfetta trasparenza.
In questo contesto, gli NFT svolgono un’ulteriore funzione, cioè permettono di trasferire la certezza attribuibile ai singoli blocchi della blockchain a contenuti informatici di diversa natura, come immagini, video, GIF. Invece di scambiare qualcosa di simile ad una moneta, che esprime un certo valore ma che può essere scambiata indifferentemente, grazie agli NFT è possibile trasferire un bene appunto infungibile (si pensi ad un pezzo da collezione).
È evidente il vantaggio che può avere una tecnologia che elimina la necessità di lunghi controlli per stabilire l’autenticità di un’informazione o contenuto digitale, soprattutto se si considera l’importanza che tuttora rivestono le banche dati digitali gestite da enti pubblici.
Perciò, alcuni artisti affermati e altri soggetti notori hanno iniziato a mettere in vendita sulle piattaforme digitali a ciò dedicate propri video, creazioni artistiche di vario genere e perfino semplici tweet, “trasformandoli” in NFT.
Il riscontro del pubblico è andato oltre ogni aspettativa, permettendo di realizzare ingenti ricavi, talvolta anche milionari[1]. In cambio, gli acquirenti hanno acquisito la titolarità di quel frammento di video, immagine etc..
Gli NFT sembrano quindi introdurre un nuovo orizzonte di possibilità per il mondo della produzione artistica, perché sono in grado di garantire nel mondo digitale, che per sua stessa definizione è un mondo di copie identiche e riproducibili a piacimento, l’esistenza di un unico originale inalterabile nel tempo.
Grazie agli NFT, i creatori di contenuti dispongono quindi di una fonte di guadagno e di uno strumento di facile utilizzo che permette loro di dimostrare la paternità delle proprie opere e allo stesso tempo di trasferirne il diritto di titolarità in capo ad altri soggetti.
Un ambito in cui gli NFT vengono già utilizzati è quello del gaming online, dove viene reso possibile ai giocatori acquistare armi o altri oggetti “unici” da utilizzare o scambiare durante l’attività di gioco. Ma è ragionevole ipotizzarne un ampio utilizzo anche nel diritto industriale, basti pensare alla possibilità di utilizzare tale strumento per dimostrare il preuso di una macchina industriale e invalidare un brevetto altrui, trasformando in NFT il relativo video di YouTube che costituisce la prova inalterabile e inattaccabile della divulgazione anteriore del macchinario sul mercato.
Vi sono però alcuni profili da approfondire e tenere in considerazione per quanto concerne tali strumenti.
Innanzitutto, l’autenticità e la titolarità del contenuto degli NFT si basano a loro volta su dichiarazioni dei soggetti interessati, che in linea di principio dovrebbero esserne gli autori o comunque i titolari, ovvero i licenziatari, dei diritti di sfruttamento economico dell’opera. Allo stato, quindi, a garantire la trasparenza circa tale effettiva titolarità, chiedendo agli utenti di registrarsi, sono le piattaforme che permettono di eseguire le transazioni, ma in linea teorica chiunque potrebbe creare un NFT che incorpori un contenuto digitale di titolarità altrui. Non vi è dunque alcuna attività di verifica a monte sull’effettiva titolarità del bene che l’utente intende trasferire mediante gli NFT. Circostanza dalla quale potrebbero scaturire contenziosi circa l’effettiva proprietà del contenuto trasferito.
Appare inoltre necessario che venga da subito chiarito il regime fiscale cui sono soggetti tali strumenti (specie per quanto concerne le eventuali plusvalenze ottenute dalle successive vendite tramite NFT), prima che diventino uno strumento di largo utilizzo nel mondo artistico.
Infine, va considerato un ulteriore profilo che riguarda segnatamente i diritti dei consumatori ed infatti quest’ultimi, dopo aver effettuato l’acquisto, non hanno la possibilità di tornare sui propri passi esercitando il diritto di ripensamento che, come noto, è previsto per gli acquisti effettuati a distanza (tra i quali rientrano naturalmente quelli online).
A parere di scrive, aldilà dell’euforia – a tratti propriamente speculativa – che si è creata attorno a questi nuovi strumenti, gli NFT rappresentano effettivamente una potenziale svolta nella nostra vita ed in particolare con riferimento a tutti quei servizi e beni che presuppongono e necessitano di una certificazione dell’autenticità delle informazioni e contenuti digitali, quali ad esempio titolarità, provenienza, diritti di utilizzo temporaneo.
Tuttavia, perché questo strumento diventi largamente utilizzato, è necessario, da una parte, che le piattaforme introducano e garantiscano un sistema efficiente di controllo circa la titolarità del bene ceduto per evitare possibili dispute in merito e, dall’altra, che il legislatore “scenda” in campo per introdurre specifiche garanzie per l’acquirente (quale appunto il diritto di ripensamento) e comunque una disciplina organica ad hoc (che preveda, tra le altre cose, un trattamento fiscale adeguato alle caratteristiche dello strumento).
[1] Famoso il caso dell’artista Beeple, che ha venduto attraverso la casa d’asta Christie’s la propria opera “Everydays: The First 5000 Days” al prezzo di oltre 69 milioni di USD, oppure quello di Jack Dorsey, il fondatore di Twitter, che ha venduto il primo tweet della storia per 2,9 milioni di USD.
Certificato Verde Europeo: libertà di muoversi in Europa in tempo di pandemia
Si chiama “Certificato verde” europeo, si legge “Pass Covid-19”. Ha lo scopo di facilitare la circolazione dei cittadini all’interno dell’Unione Europea, nonché di contribuire alla limitazione della diffusione del virus Sars-CoV-2.
Proviamo a comprendere quali sono le caratteristiche del certificato verde, chi potrà rilasciarlo e quali garanzie sono previste per la tutela dei dati personali, anche di natura sensibile, in esso contenuti.
1. Premessa
Lo scorso 17 marzo 2021, la Commissione Europea ha proposto l’introduzione di un “Certificato verde” europeo che ha come scopo quello di consentire, durante la pandemia da Covid-19, l'esercizio del diritto di libera circolazione dei cittadini previsto dall’art. 21 del Trattato sul funzionamento dell'UE (TFUE). Esso verrebbe rilasciato da ogni Stato Membro, in formato digitale e/o cartaceo ed avrebbe lo stesso valore giuridico in tutta l’UE.
Tuttavia, parlare di “Certificato verde” (al singolare) non è corretto. Infatti, come previsto nella Proposta di Regolamento europeo pubblicata dalla Commissione[1], sono tre le diverse tipologie di certificati che potranno essere rilasciati:
i. “Certificato di vaccinazione”: attesta che una persona ha ricevuto un vaccino contro il Covid-19 autorizzato all’immissione in commercio nell’UE;
ii. “Certificato di test”: attesta che una persona ha effettuato un test Covid-19, antigenico o molecolare (purchè non autodiagnostico), che ha dato risultato negativo;
iii. “Certificato di guarigione”: attesta che una persona che aveva contratto il Covid-19 ne è successivamente guarita.
Ogni certificato sarà redatto nella lingua ufficiale dello Stato Membro da cui è rilasciato, oltre che in lingua inglese, sarà gratuito e sarà emesso dalle istituzioni/autorità debitamente autorizzate a tale scopo (si pensi, ad esempio, ad ospedali, centri di diagnosi/test o all’autorità sanitaria stessa).
2. Come funziona il certificato?
Il certificato possiede un “QR (Quick Response) code” contenente le informazioni essenziali relative al suo titolare, una firma digitale che ne impedisce la falsificazione ed un sigillo che ne garantisce l'autenticità.
Nel momento in cui un cittadino europeo farà ingresso in uno Stato membro diverso da quello di appartenenza, le istituzioni e/o autorità competenti di tale Stato procederanno alla scansione del QR code presente sul certificato ed alla verifica della firma digitale in esso contenuta. Tale verifica della firma digitale avverrà mediante confronto della stessa con le chiavi di firma possedute dalle istituzioni/autorità dello Stato di destinazione, le quali saranno conservate in una banca dati protetta di ciascuno Stato.
Sarà inoltre reso disponibile, a livello comunitario, un unico “gateway” gestito dalla Commissione, mediante il quale le firme digitali dei certificati verdi potranno essere verificate in tutta l'UE.
3. Il trattamento dei dati personali contenuti nel certificato
Ciascun certificato – che sia di vaccinazione, di test o di guarigione – conterrà al proprio interno una serie di informazioni relative alla persona cui si riferisce quali ad esempio: nome, cognome, data di nascita, data di vaccinazione, risultato del test antigenico/molecolare effettuato, malattia da cui si è guariti. Si tratta di informazioni che rientrano nella definizione di “dati personali” di cui all’art. 4 del Regolamento 679/2016 (“GDPR”) in quanto relative ad una persona fisica identificata e, per questa ragione, devono essere trattate nel rispetto dei principi e delle garanzie previste da tale Regolamento.
A tal riguardo, è opportuno sintetizzare i contenuti più importanti del parere del 31 marzo 2021 che il Comitato Europeo per la protezione dei dati (“EDPB”) ed il Garante Europeo per la protezione dei dati (“EDPS”) hanno fornito alla Commissione UE in merito al certificato verde.
a) Il trattamento dei dati personali contenuti nei certificati dovrebbe essere effettuato solo al fine di comprovare e verificare lo stato di vaccinazione, di negatività o di guarigione del titolare del certificato e, conseguentemente, di agevolare l'esercizio del diritto di libera circolazione all'interno dell'UE durante la pandemia.
b) Al fine di agevolare l’esercizio dei diritti privacy da parte degli interessati, sarebbe opportuno che ogni Paese rediga e renda pubblico un elenco dei soggetti autorizzati a trattare tali dati in qualità di titolari o responsabili e di coloro che riceveranno i dati stessi (oltre alle autorità/istituzioni di ciascuno Stato membro competenti al rilascio dei certificati, già individuate quali “titolari del trattamento” dalla proposta di Regolamento).
c) La base giuridica del trattamento dei dati personali presenti nei certificati dovrebbe essere costituita dall’adempimento di un obbligo di legge (art. 6, co. 1, lett. c GDPR) e da “motivi di interesse pubblico rilevante” (art. 9, co. 2, lett. g GDPR).
d) Nel rispetto del principio di “limitazione della conservazione” dei dati previsto dal GDPR, la conservazione degli stessi dovrebbe essere limitata a quanto necessario per il perseguimento delle finalità del trattamento (e. facilitare l'esercizio del diritto alla libera circolazione nell'UE durante la pandemia da Covid-19) e, in ogni caso, alla durata stessa della pandemia, il cui termine sarà dichiarato dall’OMS.
e) Non sarà in alcun modo consentita la creazione di banche dati a livello comunitario.
4. Considerazioni critiche e conclusioni
Al di là della portata innovativa della proposta di Regolamento, emergono alcuni aspetti che meritano di essere ulteriormente approfonditi o, quantomeno, chiariti dal legislatore europeo per garantire la corretta applicazione della nuova normativa europea.
a. Emissione e rilascio dei certificati
La proposta di Regolamento prevede che i certificati siano “rilasciati automaticamente o su richiesta degli interessati” (cfr. Considerando 14 e artt. 5 e 6). Ci si domanda, quindi, come altresì evidenziato dall’EDPB e dall’EDPS, se un certificato:
i. sarà generato e rilasciato all’interessato solo se espressamente richiesto da quest’ultimo;
ovvero se, al contrario
ii. sarà generato automaticamente dalle autorità competenti (ad es., all’esito della vaccinazione) ma consegnato all’interessato solo su espressa richiesta.
b. Il possesso di un certificato non impedisce agli Stati membri di imporre eventuali restrizioni all’ingresso
La proposta di Regolamento prevede che uno Stato membro possa comunque decidere di imporre al titolare di un certificato determinate misure restrittive (quali, ad esempio, l’obbligo di sottoporsi ad un regime di quarantena e/o a misure di auto-isolamento) nonostante l’esibizione del certificato stesso, purché tale Stato indichi i motivi, la portata ed il periodo di applicazione delle restrizioni, compresi i dati epidemiologici pertinenti a sostegno delle stesse.
Ci si domanda, tuttavia, se tali restrizioni e le loro condizioni di applicabilità saranno definite a livello europeo ovvero se l’individuazione delle stesse sarà demandata a ciascuno Stato, accettando - in quest’ultimo caso - il rischio di vanificare il tentativo di unificazione normativa perseguito dalla proposta di Regolamento.
c. La durata temporale del certificato
La proposta di Regolamento prevede che solo il “Certificato di guarigione” debba contenere anche l’indicazione del periodo di validità. E’ lecito domandarsi, quindi, quale sia la durata degli altri due certificati (“di vaccinazione” e “di test”) e come sia possibile garantire la veridicità di quanto attestato da un certificato dopo che sia trascorso un determinato lasso di tempo dalla data di rilascio (basti pensare, ad esempio, ai diversi casi di positività riscontrati dopo la somministrazione di un vaccino o ai cd. “falsi negativi/positivi”).
d. Gli obblighi del titolare del certificato
Quali obblighi è tenuto a rispettare il titolare di un certificato? Ad esempio, qualora sia stato rilasciato un certificato che attesti lo stato di negatività al Covid-19 e, a distanza di qualche mese, il titolare scopra di essere positivo, egli ha l’obbligo di rivolgersi alle competenti autorità/istituzioni del proprio Stato al fine di far revocare il certificato? E ancora: nell’ipotesi in cui il titolare tenti di utilizzare un certificato (non veritiero) per l’ingresso in uno Stato terzo, a quali sanzioni andrebbe incontro?
e. La protezione dei dati personali
La nuova proposta di Regolamento demanda alla Commissione il compito di adottare, mendiante atti di esecuzione, specifiche disposizioni finalizzate a garantire la sicurezza dei dati personali contenuti nei certificati.
Tuttavia, considerata la natura estremamente sensibile dei dati in oggetto, la Commissione chiederà anche un parere preventivo alle Autorità per la protezione dei dati personali dei singoli Stati membri? Sarebbe forse utile garantire, anche in questo contesto e con specifico riferimento alla documentazione privacy da fornire agli interessati prima del rilascio dei certificati, un approccio europeo pressochè unanime tale da impedire l’eventuale frammentazione delle garanzie previste dal Regolamento 679/2016 (“GDPR”).
In conclusione, si tratta di una proposta che se attuata con le dovute attenzioni potrebbe contribuire ampiamente al ritorno ad una vita quasi normale; si ha tuttavia il timore che in assenza di una disciplina particolarmente dettagliata in materia sia alto il rischio di rendere ancora più complessi gli spostamenti transfrontalieri, anche considerato che molto probabilmente ogni Stato adotterebbe ulteriori misure relative alla disciplina di tale certificato.
[1] https://eur-lex.europa.eu/resource.html?uri=cellar:38de66f4-8807-11eb-ac4c-01aa75ed71a1.0024.02/DOC_1&format=PDF.
Vaccino Astra Zeneca: soluzioni giuridiche per problemi tecnici
I ritardi sulle consegne delle dosi di vaccino Astra Zeneca stanno sollevando diversi dubbi fra l’opinione pubblica (e tra gli stessi politici) circa la possibilità di rispettare i piani di vaccinazione della popolazione previsti dai Governi.
Per queste ragioni, da più parti si stanno valutando soluzioni alternative e, di recente, in Italia il dibattito sembra essersi spostato sui brevetti che proteggono i vaccini e che, da molti, vengono considerati un ostacolo alla salute pubblica.
In effetti, i brevetti, come gli altri titoli di proprietà intellettuale, non rappresentano altro che diritti di monopolio attribuiti al loro titolare per un periodo temporale ventennale, durante il quale possono essere sfruttati commercialmente.
Come noto, la ragion d’essere di questi “diritti di esclusiva” risiede in un maggior benessere per la collettività: premiando gli inventori per un periodo di tempo limitato, si ottiene da parte loro la diffusione della conoscenza, che altrimenti verrebbe tenuta nascosta il più possibile.
L’emergenza sanitaria globale impone tuttavia una riflessione e cioè se i diritti di esclusiva sul brevetto possano essere bypassati dalla necessità di ottenere i vaccini protetti da privativa in tempi rapidissimi.
In altri termini, bisogna domandarsi se in questa situazione di assoluta necessità – dove ad essere in pericolo è la salute dei cittadini – sia ragionevole persistere nel curare esclusivamente gli interessi del titolare del brevetto piuttosto che quelli della collettività.
Si prenda ad esempio il caso del noto vaccino Astra Zeneca, di cui la società titolare non è riuscita ad assicurare la produzione nei tempi e nelle quantità inizialmente previste.
Per tali ragioni, in Italia si è ipotizzato di concedere in via straordinaria ad aziende attrezzate allo scopo il diritto di produrre tale vaccino pur non essendo titolari dei brevetti, a fronte ovviamente di un corrispettivo economico a titolo di royalty.
Tale soluzione consentirebbe di ovviare ai possibili inadempimenti delle società farmaceutiche che in ogni caso riceverebbero compensi economici per le ricerche e l’attività inventiva svolta.
Più in generale, le proposte avanzate e discusse sono state le seguenti:
- imporre alle grandi multinazionali titolari dei brevetti di concedere “licenze obbligatorie” alle società in grado di produrre i vaccini con qualità analoga;
- sospendere l’efficacia del brevetto, di modo che chiunque possa servirsi delle conoscenze da esso protette per produrre vaccini fino al perdurare dell’emergenza sanitaria;
- espropriare i titolari dei brevetti sui vaccini rendendoli proprietà dello Stato, dietro equo indennizzo.
Tali proposte sono supportate da diverse basi giuridiche, in primo luogo il trattato internazionale conosciuto come “Accordo Trips”[1], che prevede la facoltà per gli Stati aderenti di imporre licenze obbligatorie per la fabbricazione e l’esportazione di medicinali nei Paesi che non dispongono di sufficienti capacità di produzione in proprio.
La difficoltà di utilizzare questo strumento risiede nel fatto che è stato pensato per fornire supporto a Paesi in via di sviluppo, senza le risorse interne per l’acquisto di costosi farmaci esteri (famoso il caso del farmaco contro l’HIV in Africa).
Più difficile sembrerebbe essere la sua applicazione per Paesi come l’Italia, che sta sviluppando un vaccino in proprio e che ha le risorse per acquistare i vaccini prodotti all’estero.
Sul punto vale anche la pena di menzionare l’art. 141 del codice della proprietà industriale italiano[2], che prevede la facoltà dello Stato italiano di espropriare o comunque utilizzare brevetti o domande di brevetto per ragioni di pubblica utilità. Con il termine “pubblica utilità” sembra infatti potersi ricomprendere la crisi pandemica in corso.
Se l’ipotesi di una espropriazione del brevetto appare tuttavia sproporzionata o comunque un’eccessiva compressione dei diritti del titolare del brevetto, l’ipotesi di licenze obbligatorie concesse in favore di aziende terze ci pare una strada ragionevole e percorribile per sopperire alle diverse vicissitudini descritte sopra.
Va però tenuto in considerazione anche l’aspetto pratico – e quindi tecnico – della produzione dei vaccini contro il Covid 19. Esistono infatti diverse modalità e processi di produzione del vaccino, cui corrisponde una diversa efficacia (ad esempio, tra i vaccini già approvati dalle autorità competenti, Pfizer e Moderna garantiscono un’efficacia del 94-95 %, mentre Astra Zeneca garantisce l’82,4 %)[3], così come una diversa attitudine a fornire copertura anche dalle varianti del virus.
Allo stesso tempo, i vaccini non sono oggetto di un singolo brevetto, ma di diversi brevetti connessi tra di loro che spesso appartengono a soggetti diversi. Ne deriva che le aziende terze dovrebbero ottenere licenze obbligatorie da una vasta platea di titolari, con conseguenti maggiori difficoltà organizzative.
Inoltre, è chiaro che alla base dei brevetti in questione vi è un complesso know how riservato, che dovrebbe essere trasferito e divulgato in tempi brevi dai titolari in favore delle aziende licenziatarie affinché il vaccino possa essere prodotto; tutto questo comporterebbe comunque un allungamento delle tempistiche di produzione, nonché ulteriori difficoltà organizzative.
Alla luce di quanto sopra, le strada suggerita e discussa della licenza obbligatoria appare senz’altro percorribile per risolvere la scarsità e i relativi ritardi nella consegna dei vaccini ma, a parere di scrive, c’è bisogno di una condotta collaborativa tra le società titolari e i licenziatari, piuttosto che un aperto conflitto tra le stesse, il tutto allo scopo di salvaguardare la prioritaria salute pubblica.
Peraltro, l’ipotesi discussa sarebbe immediatamente operativa senza la necessità di un intervento legislativo ex novo, che spesso richiede la convergenza delle forze politiche (frequentemente non facile da attuare). Tale circostanza è certamente un incentivo da sfruttare per raggiungere un risultato desiderabile per l’intera collettività in tempi rapidi.
[1] Art. 31 e 31bis del citato Accordo, nella sua formulazione aggiornata al Protocollo del 6 dicembre 2005, entrato in vigore il 23 gennaio 2017.
[2] D.lgs. n. 30 del 2005 e successive modifiche.
[3] https://www.aifa.gov.it/web/guest/domande-e-risposte-su-vaccini-mrna; https://www.aifa.gov.it/domande-e-risposte-su-vaccini-vettore-virale.