La disciplina degli “internet provider”

Con la diffusione di internet e quindi con l’aumento esponenziale delle occasioni di connessione e condivisione in rete, si è posto il problema della previsione normativa di fattispecie che prevedano un sistema sanzionatorio finalizzato ad arginare il fenomeno della graduale crescita degli illeciti commessi dagli internauti.

La casistica di illeciti è variegata e, in ragione della iperbolica amplificazione del sistema, crea forti problematiche di tipizzazione: domain grabbing, furti di identità, cyberbullismo, diffamazione a mezzo internet, accesso abusivo a reti informatiche, pedopornografia, crypto-Locker e numerosi altri fenomeni ancora caratterizzano l’uso illecito del web.
In particolare, le condotte di diffamazione sono state facilitate dalla possibilità di un numero esponenziale degli utenti della rete internet di esprimere giudizi su tutti gli argomenti trattati, per cui alla schiera di “opinionisti social” spesso si associano i cosiddetti “odiatori sul web“, che non esitano – spesso dietro l’anonimato- ad esprimere giudizi con eloquio volgare ed offensivo.
La Corte di legittimità è intervenuta quindi frequentemente in materia, precisando, per esempio, che la diffusione di un messaggio diffamatorio attraverso l’uso di una bacheca “facebook” integra un’ipotesi di diffamazione aggravata ai sensi dell’art. 595, comma terzo, cod. pen., sotto il profilo dell’offesa arrecata “con qualsiasi altro mezzo di pubblicità” diverso dalla stampa, poiché la condotta in tal modo realizzata è potenzialmente capace di raggiungere un numero indeterminato, o comunque quantitativamente apprezzabile, di persone e tuttavia non può dirsi posta in essere “col mezzo della stampa“, non essendo i social network destinati ad un’attività di informazione professionale diretta al pubblico (Sez. 5, n. 4873 del 14/11/2016). Incontroversa dunque la configurabilità in capo al soggetto che immette il commento diffamatorio in rete ai sensi dell’art. 595 cod. pen., più problematico è il tema della responsabilità dei fornitori di servizi informatici ovvero degli Internet Provider Service.
Va ovviamente chiarito che anche i providers rispondono degli illeciti posti in essere in prima persona; così, il c.d. content provider, ossia il provider che fornisce contenuti, risponde direttamente per eventuali illeciti perpetrati con la diffusione dei medesimi.
Il vero problema della responsabilità del provider riguarda invece il caso in cui questo debba rispondere del fatto illecito altrui, posto in essere avvalendosi delle infrastrutture di comunicazione del network provider, del server dell’access provider, del sito creato sul server dell’host provider, dei servizi dei service provider o delle pagine memorizzate temporaneamente dai cache-providers.
La normativa di riferimento è contenuta nel decreto legislativo del 9 aprile 2003 n. 70, emanato in attuazione della Direttiva europea sul commercio elettronico 2000/31/CE, relativa a taluni aspetti giuridici della società dell’informazione nel mercato interno, con particolare riferimento al commercio elettronico.

L’articolo 7 di tale direttiva definisce gli “internet service providers” quali “fornitori di servizi in internet“.
Inoltre, l’articolo 2 del citato decreto legislativo chiarisce che per “servizi della società dell’informazione” si intendono le attività economiche svolte in linea – on line – nonché i servizi indicati dall’articolo 1, comma 1, lettera b, della legge n. 317 del 1986, cioè qualunque servizio di regola retribuito, a distanza, in via elettronica e a richiesta individuale di un destinatario di servizi. Tra queste prestazioni rientrano, a titolo esemplificativo, la fornitura dell’accesso ad Internet e a caselle di posta elettronica.
E’ stata quindi sancita l’assenza di un obbligo generale di sorveglianza ex ante per i providers.
Infatti, l’art. 15 della citata direttiva 2000/31/CE (recepito dall’art. 17 D.Igs. n. 70/2003), prevede quanto segue: “1. Nella prestazione dei servizi di cui agli articoli 12, 13 e 14, gli Stati membri non impongono ai prestatori un obbligo generale di sorveglianza sulle informazioni che trasmettono o memorizzano né un obbligo generale di ricercare attivamente fatti o circostanze che indichino la presenza di attività illecite. – 2. Gli stati membri possono stabilire che i prestatori di servizi della società dell’informazione siano tenuti ad informare senza indugio la pubblica autorità competente di presunte attività o informazioni illecite dei destinatari dei loro servizi o comunicare alle autorità competenti, a loro richiesta, informazioni che consentano l’identificazione dei destinatari dei loro servizi con cui hanno accordi di memorizzazione dei dati“.
In particolare, i providers non sono responsabili, in linea generale, quando svolgono servizi di c.d. mere conduit (art. 12), caching (art. 13) e hosting (art. 14).

La disciplina degli “internet providers” è estensibile tout court agli amministratori di blog?

Per quanto si dirà più avanti, nel sottolineare la diversa posizione dei blogger, va evidenziato che il considerando n. 42 della Direttiva in esame puntualizza che «le deroghe alla responsabilità stabilita nella presente direttiva riguardano esclusivamente il caso in cui l’attività di prestatore di servizi della società dell’informazione si limiti al processo tecnico di attivare e fornire accesso ad una rete di comunicazione sulla quale sono trasmesse o temporaneamente memorizzate le informazioni messe a disposizione da terzi al solo scopo di rendere più efficiente la trasmissione. Siffatta attività è di ordine meramente tecnico, automatico e passivo, il che implica che il prestatore di servizi della società dell’informazione non conosce né controlla le informazioni trasmesse o memorizzate».
In particolare, l’attività di mere conduit, cioè di semplice trasporto, concerne sia la trasmissione di informazioni fornite da un destinatario del servizio (a titolo d’esempio, una mail inviata da un utente), sia il fornire un accesso ad internet. Si tratta, in pratica, del ruolo svolto dall’access provider, irresponsabile per il contenuto delle informazioni trasmesse telematicamente qualora ricorrano tre condizioni, tutte negative: non dia origine alla trasmissione; non selezioni il destinatario della trasmissione; non selezioni né modifichi le informazioni trasmesse. In altri termini, fin quando il provider si limita ad un ruolo passivo di mera trasmissione tecnica, senza restare coinvolto nel contenuto delle informazioni che transitano tramite il servizio offerto, non può essere ritenuto responsabile del contenuto medesimo. Purtuttavia, ciò non esclude la possibilità, secondo gli ordinamenti degli Stati membri – come quello italiano, ex art. (art. 14, comma 3, d. Igs. 70/2003) – che un organo giurisdizionale o un’autorità amministrativa pretendano che il fornitore impedisca o ponga fine alla violazione perpetrata tramite il servizio prestato.
Il servizio di caching consiste nella memorizzazione automatica, intermedia e temporanea dei dati, sotto forma di file “cache“, effettuata al solo scopo di rendere più efficace la sua successiva trasmissione ad altri destinatari del servizio. In relazione a tale successivo inoltro il fornitore è responsabile esclusivamente ove interferisca con le informazioni memorizzate ovvero non proceda alla rimozione dei dati memorizzati non appena venga effettivamente a conoscenza della circostanza che queste sono state rimosse dal luogo di origine o che verranno presto da questo rimosse. La Direttiva europea non impone dunque al provider né l’obbligo generale di sorveglianza ex ante, né tanto meno l’obbligo di ricercare attivamente fatti o circostanze che indichino la presenza di attività illecite.
La stessa normativa, tuttavia, impone ai providers di informare prontamente degli illeciti rilevati le autorità competenti e a condividere con le stesse ogni informazione che possa aiutare a identificare l’autore della violazione. Ed è significativa la circostanza per cui la mancata collaborazione con le autorità fa sì che gli stessi providers vengano ritenuti civilmente responsabili dei danni provocati.
Questa ipotesi di responsabilità ex post dell’ISP si fonda su quanto è previsto nell’art. 14 comma 1 lett. b) della Direttiva citata, il quale stabilisce una responsabilità in particolare per i c.d. hosting provider, dall’inglese “to host“, che significa “ospitare“, dal momento che il provider fornisce all’utente, ospitandolo, uno spazio telematico da gestire. La scelta delle informazioni da fornire sarà però del soggetto che stipula il contratto di hosting con i provider, i quali sono responsabili nel caso in cui, effettivamente a conoscenza della presenza di un contenuto illecito sui propri server, omettano di rimuoverlo. Dal punto di vista del diritto penale, si parlerebbe in tali fattispecie, laddove non si ritengano applicabili le esenzioni previste dalla Direttiva 31/2000, di una responsabilità dell’ISP per concorso omissivo nel reato commissivo dell’utente, se detto contenuto sia penalmente illecito.
La seconda forma di responsabilità sopra descritta è stata oggetto di alcune recenti pronunce giurisprudenziali, in materia penale e civile, le quali hanno individuato nella previsione dell’art. 14 della Direttiva europea (cui corrisponde quella dell’art. 16 D.Igs. n. 70/2003) la fonte di un obbligo d’impedimento a carico degli ISP, legittimante un’imputazione di responsabilità degli stessi a titolo concorsuale (Cass. Pen., Sez. 5, n. 54946 del 12/07/2016, Maffeis, di cui si parlerà più avanti).
Lo sviluppo giurisprudenziale sul tema, però, non è stato accompagnato da modifiche del testo normativo di riferimento, dimostratosi ormai inadeguato alla materia che si prefigge di regolare, è avanzato parallelamente ai cambiamenti tecnologici di Internet.
Invero, la frammentarietà delle fonti e degli interventi in materia non rendono semplice un’analisi sistematica delle fattispecie che vedono coinvolte le diverse tipologie di provider e l’atipicità delle loro attività, che – come sopra si è detto- presentano dinamiche e problematiche differenti.
La più evidente distinzione può essere riscontrata tra i cc.dd. Serch Engine Results Page ovvero i motori di ricerca come -ad esempio- Google, Bing o Qwant e i gestori dei siti sorgente ovvero piattaforme online, come ad esempio Facebook o YouTube, che ospitano o trasmettono i contenuti organizzati e messi a disposizione dal motore di ricerca. 

Proprio quanto appena evidenziato rende palese l’intrinseca diversità tra gli internet providers e gli amministratori di blog, dal momento che questi ultimi non forniscono alcun servizio nel senso precisato, bensì si limitano a mettere a disposizione degli utenti una piattaforma sulla quale poter interagire attraverso la pubblicazione di contenuti e commenti su temi nella maggior parte dei casi proposti dallo stesso blogger, in quanto caratterizzati dalla linea, che si potrebbe definire (anche se impropriamente) “editoriale“, impressa proprio dal gestore della suddetta piattaforma.
Insomma, il blog (termine che deriva dalla contrazione di web-log, ovvero “diario di rete“) gestito quale sito personale è concepito principalmente come contenitore di testo (ovvero come diario o come organo di informazione indipendente), aggiornabile in tempo reale grazie ad apposito software.
I contenuti del diario vengono visualizzati in forma anti-cronologica (dal più recente al più lontano
nel tempo) e il sito è in genere gestito da uno o più blogger, che pubblicano, più o meno periodicamente, contenuti multimediali, in forma testuale o in forma di post, concetto assimilabile o avvicinabile a un articolo di giornale.
Quindi, il singolo intervento (pensiero, contenuto multimediale, ecc.) inserito dal blogger viene in genere definito post e l’applicazione utilizzata permette di creare i nuovi post identificandoli con un titolo, la data di pubblicazione e alcune parole chiave (tag). Qualora l’autore del blog lo permetta, ovvero abbia configurato in questa maniera il blog, al post possono seguire i commenti dei lettori del blog.
Sempre più persone si avvicinano al mondo del blogging e indubbiamente il problema si pone perché – come si è detto- il blog consente l’interazione anche con soggetti terzi, che possono rimanere anonimi.
Orbene, qualora il blogger dovesse esser ritenuto responsabile per tutto quanto scritto sul proprio sito anche da altri soggetti, sarebbe ampliato a dismisura il suo dovere di vigilanza, ingenerando un eccessivo onere a carico dello stesso.
Certamente, però, quando il blog sia stato implementato di alcuni filtri nella pubblicazione dei contenuti, per evitare conseguenze penali il gestore è tenuto a vigilare ed approvare i commenti prima che questi siano pubblicati.
Va quindi esclusa una responsabilità personale del blogger quando questi, reso edotto dell’offensività della pubblicazione, decide di intervenire prontamente a rimuovere il post offensivo.
In tal senso si è espressa la sentenza del 9 marzo 2017 (sul caso Pihl vs. Svezia) della Corte Europea dei Diritti Umani, così chiarendo i limiti della responsabilità dei gestori di siti e blog per i commenti degli utenti che abbiano contenuto diffamatorio.
Nel caso esaminato dalla citata sentenza, risalente al 2011, su un blog gestito da un’associazione senza scopo di lucro, mediante un commento in relazione ad un post in cui si attribuiva ad un cittadino svedese, Phil, l’appartenenza ad un partito nazista, un soggetto anonimo accusava il medesimo di essere un consumatore abituale di sostanze stupefacenti. Pochi giorni più tardi, il soggetto leso chiedeva la rimozione di entrambi i contenuti, poiché veicolavano informazioni mendaci. L’associazione provvedeva secondo le richieste del soggetto danneggiato, aggiungendo altresì uno scritto di scuse. Nondimeno, la persona offesa citava in giudizio il gestore del blog, dal momento che questi non aveva preventivamente controllato il contenuto del post e del commento. La domanda di risarcimento veniva respinta dai giudici nazionali, posto che la mancata rimozione di un contenuto diffamatorio pubblicato da terzi prima della segnalazione dell’interessato integrava una condotta non sanzionabile secondo il diritto svedese. La persona offesa, esauriti i rimedi nazionali, adiva la Corte Europea dei Diritti dell’Uomo, lamentando che la legislazione domestica, nel non prevedere una responsabilità del gestore di blog in casi di tale genere, violava l’art. 8 della Convenzione, ovvero il diritto a vedere tutelata la propria vita privata nonché la propria reputazione.
La Corte europea, nel dichiarare inammissibile il ricorso, ha rilevato come lo scritto in questione, sebbene presentasse profili offensivi, non conteneva affermazioni che incitavano all’odio o alla violenza, evenienza che consente, secondo la tradizionale giurisprudenza della Cedu, una maggiore limitazione della libertà di espressione.
Ciò posto, nella sentenza in esame si è fatto riferimento ad alcune decisioni precedenti (Delfi AS vs. Estonia, Magyar vs. Ungheria), specificando che il bilanciamento operato dalle Corti nazionali sull’applicazione degli articoli 8 e 10 della CEDU, rispettivamente sul diritto alla privacy e sulla libertà di espressione, può essere superato dalla Corte EDU solo se vi sono motivi gravi.
In particolare, nel valutare tale possibilità la Corte Europea deve tenere conto del contesto, delle misure applicate dal gestore per prevenire o rimuovere i commenti lesivi dei diritti altrui e della responsabilità degli autori dei commenti.
La Corte europea ha quindi escluso la possibilità di ritenere automaticamente responsabile il gestore del sito per qualsiasi commento scritto da un utente, sempre che, una volta a conoscenza del contenuto diffamatorio del commento, si sia immediatamente ed efficacemente adoperato per rimuoverlo.
Per quanto si dirà anche più avanti, quindi, il blogger può rispondere dei contenuti denigratori pubblicati sul suo diario da terzi quando, presa cognizione della lesività di tali contenuti, li mantenga consapevolmente.

Corte di Cassazione Penale Sent. Sez. 5 n. 12546 del 2019