SPAMMING: definizioni ed aspetti legali. di Luca-M. de Grazia (*)
Per arrivare a chiarire quale sia la reale portata giuridica del fenomeno del c.d. "spamming", ovvero dell'invio di messaggi pubblicitari di posta elettronica, ritengo occorra innanzitutto puntualizzare quali siano le norme che regolano la materia nel diritto italiano. Esse sono: l'art. 13 della legge 675/96 [1], da leggere in uno con l'art. 9 [2] della medesima legge; successivamente sono state emanate altre norme che si dovrebbero porre in rapporto di specialità rispetto alla 675/96, ossia le regole dettate dalla 675/96 dovrebbero costituire la norma di portata generale, mentre le altre norme dovrebbero costituire la normativa specifica per determinati settori ovvero per determinate categorie di utenti. Tali altre norme sono: il Decreto Legislativo 13 maggio 1998, n. 171 "Disposizioni in materia di tutela della vita privata nel settore delle telecomunicazioni, in attuazione della direttiva 97/66/CE del Parlamento europeo e del Consiglio, ed in tema di attivita' giornalistica" in Gazzetta Ufficiale n. 127 del 3 giugno 1998, e specificatamente l'art. 10 [3] dello stesso; successivamente a tale decreto legislativo è stato emanato il Decreto Legislativo 22 maggio 1999, n. 185 Attuazione della direttiva 97/7/CE relativa alla protezione dei consumatori in materia di contratti a distanza (Pubblicato nella Gazzetta Ufficiale n. 143 del 21/6/1999) (Rettifica G.U. n. 230 del 30/9/1999), il quale all'art. 10 [4] specifica chiaramente cosa può essere considerato "spamming" ai fini della medesima legge. Le sanzioni sono quelle previste, in primo luogo, dall'art. 35 [5] della 675/96, richiamato espressamente dall'art. 11 [6] del Dlgs n.171/98, nonché quelle previste dall'art.12 [7] del Dlgs n.185/99 appena citato. Partendo dall'analisi della lettera (e) del 1° comma dell'art.13 della 675/96, che regola in maniera specifica la possibilità per "l'interessato" (ovvero per il soggetto che "subisca" lo spamming stesso), è abbastanza agevole rilevare come il principio posto sia quello del "diniego di ulteriore invio"; di conseguenza, mentre il primo invio di materiale pubblicitario ovvero di materiale necessario per vendita diretta non costituisce trattamento illecito di dati personali, gli eventuali invii successivi al primo dopo che l'utente (interessato) abbia manifestato il proprio dissenso, rendono tale attività del tutto illegale. Tutto questo in quanto dal combinato disposto degli artt. 9, 11 e 12 della Legge 675/96, è possibile evincere il principio secondo cui il consenso non è necessario allorché il dato personale (nel caso di specie l'indirizzo di posta elettronica) sia stato reperito attraverso una raccolta di dati su "elenchi pubblici", quali possono essere considerati, in linea di massima, i c.d. "newsgroups" ovvero le pagine web ad accesso libero; qualora però tale consenso venga negato, poiché l'art.9 stabilisce che i dati devono essere raccolti e trattati : a) …… in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini non incompatibili con tali scopi; risulta abbastanza evidente come il successivo "trattamento" di tali dati sia illecito in mancanza del consenso, non necessario in prima istanza ma negato in seconda istanza (ovvero dopo l'invio del primo messaggio pubblicitario).
Se, proseguendo nell'analisi appena iniziata, si va ad esaminare la prima delle normative specifiche, ovvero il Dlgs n.171/98 che concerne proprio la c.d. "privacy nelle telecomunicazioni", la situazione sembrerebbe capovolgersi, in quanto viene richiesto il preventivo consenso espresso dell'abbonato, come recita il 1° comma dell'art.10 del Dlgs citato:
1. L'uso di un sistema automatizzato di chiamata senza intervento di un operatore o del telefax per scopi di invio di materiale pubblicitario o di vendita diretta, ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva, e' consentito con il consenso espresso dell'abbonato.
In effetti l'articolo in questione parla soltanto di "sistema automatizzato di chiamata senza intervento di un operatore", ovvero dell'utilizzazione del telefax; tale dizione si presta, di conseguenza, ad una duplice interpretazione, l'una più restrittiva, l'altra più lasca. Secondo una prima interpretazione, sicuramente più restrittiva e forse più in linea con i dettami della 675/96, si dovrebbe ritenere che l'utilizzazione di un "sistema automatizzato di chiamata" possa comprendere anche l'invio di posta elettronica, potendosi ben applicare a qualsiasi mezzo di comunicazione a distanza (e non) che possa essere utilizzato secondo le tecniche possibili in un determinato momento storico. Da un altro punto di vista, poiché la sanzione (espressa) per il mancato rispetto della norma appena citata è quella prevista dall'art.35 delle 675/96, e quindi si tratta di una sanzione di tipo penale, si potrebbe ragionevolmente ritenere che - non potendosi applicare, come tutti sanno, l'analogia nel campo del diritto penale - la dizione della legge debba essere presa nel suo significato letterale ed assoluto, e che quindi ne possano restare esclusi gli invii di posta elettronica che, comunque, utilizzino tecniche automatizzate. Da tenere presente inoltre che l'utilizzazione del termine "abbonato" induce a ritenere che tale norma si debba applicare non solo nei confronti dell'utente - consumatore (categoria di per sé già ampiamente tutelata dall'ordinamento) ma anche nei confronti di qualunque soggetto "abbonato", appunto, ad un servizio di telecomunicazioni; tra l'altro, anche l'art.13 della 675/96, nel momento in cui parla di "interessato", non fa distinzione tra persona fisica, persona giuridica o altro soggetto giuridico (in proposito, è opportuno ricordare l'art.1, comma 2°, lettera (f) della legge, laddove si chiarisce " f) per "interessato" [si intende N.d.R.], la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali. E' appena il caso di ricordare come il secondo comma dell'articolo citato consenta il trattamento dei dati qualora vengano rispettate le fondamentali regole poste dagli artt 11 e 12 della 675/96, qualora vengano utilizzati mezzi diversi da quelli indicati nel 1° comma; tale precisazione indurrebbe a ritenere più accettabile l'interpretazione meno restrittiva della norma sopra espressa, proprio per motivi sistematici e di posizione complessiva del periodo nell'ambito della norma stessa. Chiariti questi due primi aspetti delle norme prese in esame, occorre a questo punto analizzare la terza delle norme richiamate, ed esattamente l'art. 10 del Dlgs n.185/99, che concerne i c.d. "contratti a distanza". Tale norma si appalesa immediatamente più chiara, almeno per quanto concerne la terminologia adottata, rispetto a quella contenuta nel Dlgs n.171/98; in effetti in questo caso si parla espressamente di "tecniche di comunicazione a distanza", e specifica che "L'impiego da parte di un fornitore del telefono, della posta elettronica, di sistemi automatizzati di chiamata senza l'intervento di un operatore o di fax, richiede il consenso preventivo del consumatore.". Anche in questo caso, pertanto, si richiede il preventivo consenso espresso da parte del "consumatore", laddove la norma generale richiedeva soltanto il diniego dopo il primi messaggi. Ovviamente, poiché si parla esplicitamente di "posta elettronica", non si potrà in alcun modo escludere che tale mezzo di comunicazione possa non rientrare nel dettato della norma in esame; è però forse opportuno precisare due concetti. Il primo che al secondo comma dell'articolo citato si legge testualmente che "Tecniche di comunicazione a distanza diverse da quelle di cui al comma 1," nel solo caso in cui tali tecniche "consentano una comunicazione individuale", ed a patto che "se il consumatore non si dichiara esplicitamente contrario." Inoltre la terminologia adottata (consumatore laddove nel Dlgs n.171/98 si parlava di "abbonato") dovrebbe portare ad escludere l'applicazione di tale normativa, in particolare del 2° comma, laddove le comunicazioni commerciali vengano effettuate nell'ambito del c.d. "B2B", ovvero nella comunicazione inter aziendale, proprio perché l'utilizzatore professionale del mezzo di telecomunicazione non è concettualmente un "consumatore" (i riferimenti in tal senso risalgono all'introduzione nell'ordinamento giuridico italiano degli artt. 1469-bis e segg. del Codice Civile). Le sanzioni, d'altra parte, nel caso di applicazione del Dlgs n.185/99, ovvero in tutti i casi in cui l'invio di materiale pubblicitario sia funzionale alla (possibile) conclusione di un contratto di vendita di un bene e/o di un servizio attraverso un "mezzo di comunicazione a distanza" [8] sono soltanto di carattere amministrativo, senza alcun risvolto di carattere penale, sempre che il "trattamento illecito" non rientri nell'ambito più generale della 675/96 (mancanza di consenso, diniego di consenso, informativa non fornita, trattamento non autorizzato di dati sensibili, ecc. ecc.) Infatti l'art.12 del Dlgs n.185/99, che prevede le sanzioni per il mancato rispetto di quanto imposto dall'art.10 dello stesso Dlgs, esordisce con la dizione "Fatta salva l'applicazione della legge penale qualora il fatto costituisca reato…". In conclusione di questo breve escursus, giova probabilmente ricordare che lo spamming (inteso però come semplice invio di posta elettronica non sollecitata, e non come invio di materiale pubblicitario) è espressamente vietato dalla c.d. "netiquette", ovvero dalla norma (legalmente di carattere consuetudinario) che si applica alla rete Internet sin dalla sua nascita, e che viene espressamente richiamata (divenendo pertanto norma contrattuale) laddove un soggetto giuridico divenga titolare di un domain name con suffisso ".it", proprio in quanto la c.d. "Registration Authority" (R.A.) italiana, la quale presiede all'assegnazione dei nomi a dominio nel nostro paese, fa espresso richiamo alle norme della netiquette (peraltro pubblicate esplicitamente nel sito della stessa: www.nic.it) nel momento in cui assegna in concessione un nome a dominio con suffisso .it. In questo caso, al fine di effettuare una disamina approfondita della questione - attività che sicuramente esula da queste brevi riflessioni - occorrerebbe anche analizzare almeno altre due questioni: a) la validità giuridica del rapporto nonché delle clausole richiamate dalla L.A.R. (lettera di assunzione di responsabilità) che la R.A. fa sottoscrivere nel momento in cui si va a richiedere un domain name del contesto geografico italiano; b) a monte del problema sopra esposto, andrebbe risolto il problema della natura giuridica della stessa R.A., problema che a sua volta presupporrebbe la soluzione della questione concernente la competenza a decidere sulle questioni - come suol dirsi - nella materia in questione. In questo senso andrebbe chiarito se le questioni concernenti i domain names e, conseguentemente, quelle ad essi collegate, debbano essere attribuite alla competenza in prima battuta dell'Authority della Telecomunicazioni (www.agcom.it) ed in seconda battuta alla competenza esclusiva del T.A.R. secondo il disposto degli artt. 33, 34 e 25 dlgs n.80/98, ovvero se tutta la questione possa essere risolta su base strettamente contrattualistica a partire dal soggetto che "in radice" attribuisce i poteri alle varie "autorities" nazionali ovvero - attualmente - ICANN e IANA, sino a scendere sempre su base contrattuale sino al più piccolo dei provider.
Prima di passare alle prime conclusioni che possano essere tratte da quanto esposto in precedenza, potrebbe essere utile sapere se e come tali norme potrebbero essere cambiate a seguito del recepimento nel nostro paese della Direttiva 2000/31/CE del Parlamento europeo e del Consiglio dell’8 giugno 2000, relativa a taluni aspetti giuridici dei servizi della società dell’informazione, in particolare il commercio elettronico, nel mercato interno, c.d. "Direttiva sul commercio elettronico". Infatti, all'art.7 [9] della cennata Direttiva sembra in effetti attuare una soluzione simile alla normativa risultante dall'art.13 della Legge 675/96 (invio senza necessità di consenso, possibilità del diniego del consenso da parte del soggetto interessato), ma probabilmente più consona alle attività da svolgersi attraverso Internet. Infatti - oltre a stabilire il principio secondo il quale la comunicazione commerciale deve essere chiaramente qualificata e riconoscibile come tale (art.6 Direttiva [10]) - la norma comunitaria prevede la formazione ed il conseguente obbligo di consultazione di elenchi pubblici nei quali si possano iscrivere i soggetti che non vogliano ricevere messaggi pubblicitari non sollecitati; a modesto parere di chi scrive, tale soluzione appare più che accettabile, sicuramente in linea con i dettami della 675/96 (occorre infatti ricordare che l'iscrizione in tali elenchi costituirebbe un espresso e preventivo diniego al trattamento del dato personale "indirizzo di posta elettronica", e l'eventuale messaggio pubblicitario sarebbe pertanto lecito solo se richiesto espressamente dall'interessato), ma potrebbe anche evitare inutili e sterili diatribe sull'argomento.
Da ultimo, ritengo utile sintetizzare quanto in precedenza esposto: 1. La norma dettata dall'art.13 della 675/96 si applica a qualsiasi soggetto giuridico ma diviene norma suppletiva laddove si possano e debbano applicare i Decreti legislativi n.171/98 e n.185/99; 2. Il Dlgs n.171/98 regola espressamente soltanto la c.d. "privacy nelle telecomunicazioni", e pertanto non può ritenersi in linea di massima applicabile in altri ambiti, anche per il richiamo espresso alla norma penale della Legge 675/96. Si applica nei confronti di qualunque soggetto giuridico, così come l'art.13 appena citato, sia esso sia "parte attiva", sia esso sia "parte lesa". 3. Il Dlgs n.185/99 regola i c.d. "contratti a distanza", e quindi va a sovrapporsi parzialmente al dettato del Dlgs n.171/98, laddove - ovviamente - appare difficile ipotizzare delle chiamate di semplice "disturbo" se non finalizzate alla vendita di beni e/o servizi da parte di qualche soggetto giuridico. Sicuramente si applica ai soli "consumatori", e conseguentemente al solo "B2C", e non al "B2B", automaticamente escluso dalla terminologia adottata. Si applica agli operatori che utilizzino "qualsiasi tipo di tecnica di comunicazione a distanza" e, quindi, non soltanto quelle concernenti l'Internet; inoltre, dal punto di vista "attivo" (=soggetti che debbano rispettare tale normativa) si applica soltanto ai soggetti specificatamente indicati dall'art.1 [11], n.1, lettera (c): c) fornitore: la persona fisica o giuridica che nei contratti a distanza agisce nel quadro della sua attività professionale. e non a tutti i soggetti giuridici, così come - al contrario - le due norme citate in precedenza.
* Avvocato, studio legale de Grazia, Frosinone. Esperto di diritto della rete, è editore e curatore della rivista telematica “Info.Dir.Net” (www.degrazia.it), è membro del comitato scientifico della rivista “Diritto e Diritti” ed è editorialista del gruppo “Il Sole 24 Ore”.
[1] Art. 13 Legge 675/96 - Diritti dell'interessato 1. In relazione al trattamento di
dati personali l'interessato ha diritto: 2. Per ciascuna richiesta di cui al comma 1, lettera c), numero 1), può essere chiesto all'interessato, ove non risulti confermata l'esistenza di dati che lo riguardano, un contributo spese, non superiore ai costi effettivamente sopportati, secondo le modalità ed entro i limiti stabiliti dal regolamento di cui all'articolo 33, comma 3. 3. I diritti di cui al comma 1 riferiti ai dati personali concernenti persone decedute possono essere esercitati da chiunque vi abbia interesse. 4. Nell'esercizio dei diritti di cui al comma 1 l'interessato può conferire, per iscritto, delega o procura a persone fisiche o ad associazioni. 5. Restano ferme le norme sul segreto professionale degli esercenti la professione di giornalista, limitatamente alla fonte della notizia.
[2], ed utilizzati in altre operazioni
del trattamento in termini non incompatibili con tali scopi; 1-bis. Il trattamento di dati personali per scopi storici, di ricerca scientifica o di statistica è compatibile con gli scopi per i quali i dati sono raccolti o successivamente trattati e può essere effettuato anche oltre il periodo necessario a questi ultimi scopi
[3] Art. 10 Dlgs n.171/98 1. L'uso di un sistema automatizzato di chiamata senza intervento di un operatore o del telefax per scopi di invio di materiale pubblicitario o di vendita diretta, ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva, e' consentito con il consenso espresso dell'abbonato. 2. Le chiamate per le finalità di cui al comma 1, effettuate con mezzi diversi da quelli ivi indicati, sono consentite ai sensi degli articoli 11 e 12 della legge (N.d.R.: per legge si intende la 675/96; gli articoli richiamati sono riportati qui di seguito)
Art. 11 Legge 675/96 - Consenso 1. Il trattamento di dati Art. 9 Legge 675/96 - Modalità di raccolta e requisiti dei dati personali 1. I dati personali oggetto di
trattamento devono essere: 2. Il consenso può riguardare l'intero trattamento ovvero una o più operazioni dello stesso. 3. Il consenso è validamente prestato solo se è espresso liberamente, in forma specifica e documentata per iscritto, e se sono state rese all'interessato le informazioni di cui all'articolo 10. Art. 12 Legge 675/96 - Casi di esclusione del consenso 1. Il consenso non è richiesto quando
il trattamento: e) è effettuato nell'esercizio della
professione di giornalista e per l'esclusivo perseguimento delle relative
finalità. In tale caso si applica il codice di deontologia di cui all'articolo
25;
[4] Articolo 10 Dlgs n.185/99 1. L'impiego da parte di un fornitore del telefono, della posta elettronica, di sistemi automatizzati di chiamata senza l'intervento di un operatore o di fax, richiede il consenso preventivo del consumatore. 2. Le chiamate per le finalità di cui al comma 1, effettuate con mezzi diversi da quelli ivi indicati, sono consentite ai sensi degli articoli 11 e 12 della legge.
[5] Art. 35 Legge 675/96 - Trattamento illecito di dati personali 1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 11, 20 e 27, è punito con la reclusione sino a due anni o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da tre mesi a due anni. 2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, comunica o diffonde dati personali in violazione di quanto disposto dagli articoli 21, 22, 23 e 24, ovvero del divieto di cui all'articolo 28, comma 3, è punito con la reclusione da tre mesi a due anni. 3.Se dai fatti di cui ai commi 1 e 2 deriva nocumento, la reclusione è da uno a tre anni.
[6] Art. 11 dlgs n.171/98 Sanzioni 1. Per la violazione delle disposizioni di cui agli articoli 4, 9 e 10 restano ferme le sanzioni di cui all'articolo 35 della legge. 2. [7] Articolo12 Dlgs n.185/99 1. Fatta salva l'applicazione della legge penale qualora il fatto costituisca reato, il fornitore che contravviene alle norme di cui agli articoli 3, 4, 6, 9 e 10 del presente decreto legislativo, ovvero che ostacola l'esercizio del diritto di recesso da parte del consumatore secondo le modalità di cui all'articolo 5 o non rimborsa al consumatore le somme da questi eventualmente pagate, è punito con la sanzione amministrativa pecuniaria da lire un milione a lire dieci milioni. 2. Nei casi di particolare gravità o di recidiva, i limiti minimo e massimo della sanzione indicata al comma 1 sono raddoppiati. 3. Le sanzioni sono applicate ai sensi della legge 24 novembre 1981, n. 689. Fermo restando quanto previsto in ordine ai poteri di accertamento degli ufficiali e degli agenti di polizia giudiziaria dell'articolo 13 della predetta legge 24 novembre 1981, n. 689, sull'accertamento delle violazioni provvedono, di ufficio o su denunzia, gli organi di polizia amministrativa. Il rapporto previsto dall'articolo 17 della legge 24 novembre 1981, n. 689, è presentato all'ufficio provinciale dell'industria, del commercio e dell'artigianato della provincia in cui vi è la residenza o la sede legale dell'operatore commerciale.
[8] Tipicamente, posta elettronica, instant messaging come ICQ, Microsoft Messenger, Short Message Service (SMS), ecc. [9] Articolo 7 Direttiva 2000/31/CE 1. Oltre agli altri obblighi posti dal diritto comunitario, gli Stati membri che permettono comunicazioni commerciali non sollecitate per posta elettronica provvedono affinché tali comunicazioni commerciali trasmesse da un prestatore stabilito nel loro territorio siano identificabili come tali, in modo chiaro e inequivocabile, fin dal momento in cui il destinatario le riceve. 2. Fatte salve la direttive 97/ 7/CE e la direttiva 97/66/Ce, gli Stati membri adottano i provvedimenti necessari per far sì che i prestatori che inviano per posta elettronica comunicazioni commerciali non sollecitate consultino regolarmente e rispettino i registri negativi in cui possono iscriversi le persone fisiche che non desiderano ricevere tali comunicazioni commerciali.
[10] Sezione 2: Comunicazioni commerciali Articolo
6 Oltre agli altri obblighi di informazione posti dal diritto comunitario, gli Stati membri provvedono affinché le comunicazioni commerciali che costituiscono un servizio della società dell’informazione o ne sono parte integrante rispettino le seguenti condizioni minime: a) la comunicazione commerciale è chiaramente identificabile come tale; b) la persona fisica o giuridica per conto della quale viene effettuata la comunicazione commerciale è chiaramente identificabile; c) le offerte promozionali, come ribassi, premi od omaggi, qualora permesse dallo Stato membro in cui è stabilito il prestatore, devono essere chiaramente identificabili come tali; le condizioni per beneficiarne devono essere facilmente accessibili e presentata in modo chiaro e inequivocabile; d) i concorsi o giochi promozionali, qualora siano permessi dallo Stato membro in cui è stabilito il prestatore, devono essere chiaramente identificabili come tali; le condizioni di partecipazione devono essere facilmente accessibili e presentate in modo chiaro ed inequivocabile.
[11] Articolo 1 Dlgs n.185/99 1. Ai fini del presente decreto si intende per: a) contratto a distanza: il contratto avente per oggetto beni o servizi stipulato tra un fornitore e un consumatore nell'ambito di un sistema di vendita o di prestazione di servizi a distanza organizzato dal fornitore che, per tale contratto, impiega esclusivamente una o più tecniche di comunicazione a distanza fino alla conclusione del contratto, compresa la conclusione del contratto stesso; b) consumatore: la persona fisica che, in relazione ai contratti di cui alla lettera a), agisce per scopi non riferibili all'attività professionale eventualmente svolta; c) fornitore: la persona fisica o giuridica che nei contratti a distanza agisce nel quadro della sua attività professionale; d) tecnica di comunicazione a distanza: qualunque mezzo che, senza la presenza fisica e simultanea del fornitore e del consumatore, possa impiegarsi per la conclusione del contratto tra le dette parti; un elenco indicativo delle tecniche contemplate dal presente decreto è riportato nell'allegato I; e) operatore di tecnica di comunicazione: la persona fisica o giuridica, pubblica o privata, la cui attività professionale consiste nel mettere a disposizione dei fornitori una o più tecniche di comunicazione a distanza.
|
|
|