⚖️ La responsabilità ISP, doveri dell’hosting provider, tra illeciti e attività di vigilanza

Quando si parla di responsabilità dell’hosting provider, ci si riferisce alle responsabilità civili e penali dei provider di servizi circa i contenuti che vengono pubblicati sui siti web che ospitano nei loro server. 

L’isp server provider è l’azienda che si occupa di offrire sui propri server lo spazio per ospitare i siti web. Si sta, pertanto, esplorando la boscaglia fitta di un reato informatico che interessa chiunque fornisca un servizio in grado di supportare le funzioni di un sito web e dei suoi contenuti, agevolandone la speditezza di funzionamento.

Cosa sono gli Internet Service Provider?

L’hosting provider, detto anche ISP hosting, è un’azienda che offre spazi sui propri server per ospitare siti web o anche altri servizi accessori legati ad internet, come la casella e-mail o il dominio. In certi casi, si occupa anche di fornire i contenuti (siamo qui nell’ambito del content provider). 

Gli ISP possono essere piccoli provider locali così come grandi aziende internazionali, tutti soggetti alla normativa e-commerce italiana e ai regolamenti dell’Unione Europea come il GDPR.

Gli hosting provider stipulano con utenti privati o business dei contratti di fornitura di servizi, come spiegato nel dettaglio nella nostra mini-guida al contratto di hosting. 

Legalmente gli hosting ISP sono dei veri e propri intermediari della comunicazione fra coloro che fruiscono dei contenuti sul web e coloro che creano quei contenuti.

Ci si domanda quindi quale sia la responsabilità dell’hosting provider rispetto ai contenuti pubblicati e quando questi contenuti arrivano a costituire un illecito. 

La responsabilità civile e penale dell’hosting provider

I contenuti illeciti immessi sulla rete possono dar luogo ad una responsabilità civile quando è commesso un danno ingiusto a carico di una persona, oppure a responsabilità penale quando integrano la fattispecie del reato informatico. 

Il problema del web è che rispetto all’off-line è più difficile risalire al soggetto autore dell’illecito. O, meglio, attraverso i dati in possesso del fornitore di servizi si può risalire all’utente che ha stipulato il contratto per usufruire dello spazio sul server per il proprio sito web. Ecco che ci si chiede se possa essere attribuito un ruolo o una responsabilità al provider.

In linea di massima, il provider risponde solo se è stato esso stesso a commettere l’illecito penale perché la responsabilità penale è personale. E, tuttavia, risulta difficile attribuire la responsabilità penale ad una persona giuridica quale è l’Isp hosting. 

Del resto, cosa dovrebbe fare l’hosting provider il quale venga a conoscenza del fatto che il suo server ospiti contenuti illeciti? Di certo, non spetta a lui la responsabilità di rimuovere il contenuto stesso giacché è l’autorità giudiziaria a stabilire quando un contenuto costituisce un illecito. Il provider non si può arrogare il potere di impedire la libera circolazione delle informazioni. 

Da qui, l’UE è intervenuta a disciplinare il ruolo dell’hosting provider nel caso di illeciti commessi attraverso i contenuti che sono ospiti del server che gestisce. 

La Direttiva e-commerce in relazione alla responsabilità dell’hosting provider

La responsabilità dell’hosting provider è regolata dalla direttiva europea e-commerce e relative leggi nazionali che l’hanno recepita. Nel nostro caso si fa riferimento al D. lgs 70/2003 relativo al commercio elettronico modificato dal D.lgs 101/2018.

L’articolazione dei doveri degli ISP in Italia segue la struttura proposta dalla Direttiva, con specifiche norme volte a garantire che i fornitori di servizi in rete operino in conformità con le responsabilità delineate e rispettando i diritti degli utenti e dei titolari di diritti d’autore.

La normativa italiana rafforza l’importanza della collaborazione tra gli ISP e le autorità per garantire il rispetto della legge e la protezione dei consumatori e degli utenti del web. Inoltre, prevede sanzioni per gli ISP che non adempiono ai loro obblighi di rimozione di contenuti illeciti dopo la notifica.

La Direttiva e-commerce stabilisce due principi fondamentali:

1. L’esenzione di responsabilità del fornitore di hosting per i contenuti pubblicati attraverso i suoi server;
2. Il divieto di monitoraggio dei contenuti stessi, vale a dire che non sussiste in capo all’hosting provider l’obbligo di sorveglianza sui contenuti che ospita.

Ratio di questi principi è favorire la circolazione delle comunicazioni.

La direttiva stabilisce un regime di “notice and action“, il quale prevede che, una volta informati della presenza di materiale illecito, gli ISP sono obbligati a rimuoverlo o a disabilitarne l’accesso.

L’hosting provider diventa quindi responsabile nel momento in cui è a conoscenza dell’illiceità del contenuto. A quel punto ha il dovere di fare segnalazione all’autorità (safe harbour). 

La direttiva precisa poi che c’è responsabilità penale dell’hosting solo se in base a principi rigorosi si è in grado di dimostrare che il fornitore di servizi era effettivamente a conoscenza (actual knowledge) dell’illeicità dei contenuti. Questo significa che deve essere dimostrato l’effettivo coinvolgimento dell’hosting provider.

C’è invece responsabilità civile quando, pur essendo venuto a conoscenza dell’illiceità del contenuto, l’Isp provider non ha provveduto ad informare l’autorità. 

Sorge l’obbligo di rimozione dei contenuti solo quando l’hosting provider riceve la “notification” che impone la rimozione stessa. Circa la regolamentazione della notification la Direttiva rinvia alle normative nazionali. La normativa italiana intende come notification una notifica qualificata, emessa cioè dall’autorità giudiziaria, ma in altri Paesi si intende la notifica da parte dei soggetti interessati all’illecito. 

C’è da dire che da molte parti si spinge verso una riforma della Direttiva per quanto riguarda i server provider e-commerce, al fine di stabilire una responsabilità oggettiva del fornitore di servizi. La Commissione, tuttavia, è molto reticente e ha invece iniziato a prendere accordi settoriali con le piattaforme web. 

Mere Conduit, Caching e Hosting

La direttiva fa una distinzione tra diversi servizi forniti dagli ISP:

• Mere Conduit (semplice trasmissione): Gli ISP non sono responsabili per la trasmissione automatica e temporanea di informazioni fornite da un destinatario del servizio.
• Caching: Gli ISP non sono responsabili per la trasmissione temporanea di informazioni effettuata attraverso una rete di comunicazione, a condizione che non modificano le informazioni e rispettino determinate condizioni relative all’aggiornamento delle informazioni, all’uso di tecnologie ammissibili e alla rimozione o al blocco dell’accesso alle informazioni non appena viene constatato il loro carattere illecito.
• Hosting: Gli ISP che memorizzano informazioni fornite dall’utente non sono responsabili a condizione che non siano a conoscenza dell’attività o dell’informazione illecita e, in qualità di soggetti a conoscenza, agiscano prontamente per rimuovere o disabilitare l’accesso a tali informazioni.

La Direttiva sul copyright in tema di responsabilità dell’hosting provider

Va in questa direzione l’art. 13 della Direttiva sul Copyright che prevede l’obbligo per le piattaforme web di inserire degli appositi filtri per i contenuti immessi on-line. Le piattaforme web si inseriscono nella categoria del caching provider, perché memorizzano temporaneamente le informazioni.

Quindi, se da una parte non ci si è ancora pronunciati nello specifico per quanto riguarda gli hosting provider, dall’altra la Direttiva copyright (e alcune sentenze della Corte di Giustizia relative al copyright stesso) fanno percepire che ci si sta evolvendo verso la responsabilizzazione degli intermediari di comunicazione.

Bisogna sottolineare il fatto che rispetto a quando è entrata in vigore la Direttiva e-commerce, che aveva l’obiettivo di favorire la libera circolazione delle comunicazioni, oggi inizia ad essere sempre più rilevante l’interesse a  proteggere il web da contenuti illeciti. Si tende quindi a coinvolgere gli intermediari per disincentivare il dilagare di reati sul web. 

Responsabilità dei fornitori di servizi hosting: si applica l’art. 2043 c.c.?

La fattispecie per cui si potrebbe ipotizzare la commissione di un illecito da parte dell’internet hosting provide, è quella prevista dall’art. 2043 del codice civile.

In base al suo disposto, si stabilisce la responsabilità civile extra-contrattuale di colui che commette un danno dolosamente o colposamente. 

Le pronunce della Cassazione nel 2019, in linea con l’interpretazione della Corte di Giustizia europea, hanno stabilito che il riferimento per attribuire la responsabilità all’hosting provider è il ruolo attivo o passivo della piattaforma nella divulgazione del contenuto.

Responsabilità dei fornitori di servizi hosting: ruolo “attivo” e “passivo”

In base a quale principio si può stabilire la responsabilità dell’hosting provider sui contenuti che passano attraverso la sua piattaforma?

La risposta è nel verificare se l’internet isp service provider ha avuto un ruolo attivo o passivo nella messa on-line del contenuto:

• l’lsp ha un ruolo passivo quando si limita ad essere il mezzo attraverso cui avviene la divulgazione dei contenuti. Quindi il provider ha un ruolo meramente tecnico;
• l’Isp ha un ruolo attivo quando è coinvolto nella produzione del contenuto, intervenendo sull’editing o agevolando la divulgazione. 

Ad esempio, in base alla Direttiva copyright, se la piattaforma che ospita il contenuto trae profitto dal contenuto stesso, si presume il suo ruolo attivo e diventa automaticamente responsabile del contenuto stesso.

Questo dimostra la profonda discrasia tra proposta direttiva copyright, che si rivolge ai caching provider, e direttiva e-commerce che si rivolge a tutti i web hosting provider. La prima stabilisce una responsabilità presunta del provider; l’altra prevede solo un’eventuale responsabilità secondaria del server provider, presente solo in caso di favoreggiamento della divulgazione del contenuto e laddove vi sia consapevolezza dell’illiceità del contenuto.

La conseguenza è che bisogna verificare nel caso concreto se ci sono i presupposti per dimostrare la responsabilità del provider. La disciplina specifica è rinviata alla legislazione nazionale. 

In ogni caso, la Corte di Giustizia europea ha più volte ribadito che il fatto di avere un ruolo “attivo” nella divulgazione dei contenuti, cioè l’hosting provider interviene sul content, non fa sorgere in capo al provider stesso l’obbligo di controllare ex ante tutti i contenuti caricati.

Allo stesso modo, il ruolo “passivo” non fa presumere una mancanza di responsabilità, che sorge dal momento in cui l’hosting provider viene a conoscenza dell’illiceità del contenuto presente nella sua piattaforma. Se in quel momento l’hosting provider non si attiva rimuovendo il contenuto o denunciando all’autorità competente diventa responsabile ex art. 2043 c.c. 

Le conclusioni in materia di responsabilità dell’hosting provider

Se la normativa di quasi 20 anni fa partiva dal presupposto di una totale estraneità degli hosting provider rispetto ai contenuti che ospitava, sia in maniera provvisoria che permanente, la giurisprudenza degli ultimi anni dimostra un cambio di rotta. 

La distinzione tra hosting attivi e hosting passivi porta ad attribuire ai provider un ruolo nella divulgazione dei contenuti. La direttiva Copyright è molto chiara in questo senso, attribuendo una posizione di intermediazione ai caching provider, i quali sono tenuti a controllare i contenuti prima di metterli on-line.

Questa inversione di rotta è dovuta al fatto che, rispetto a 20 anni fa, sul web è incrementata la commissione di illeciti sia penali che civili. Essendo, però, milioni i contenuti che vengono caricati on-line ogni giorno, le autorità pubbliche non possono certo da sole monitorare tutto. Gli unici che possono farlo sono le piattaforme che ospitano questi contenuti e che conservano al loro interno tutti i dati che permettono di risalire ai presunti colpevoli.

Oltretutto l’evoluzione tecnologica permette ai provider di rimuovere e  controllare i contenuti. Quindi, hanno in loro possesso tutti gli strumenti per controllare ciò che viene messo on-line. Non si può arrivare al punto di dar loro in mano il potere di controllare ciò che viene pubblicato, ma non si può nemmeno più deresponsabilizzarli del tutto. 

Se sei il titolare di una piattaforma che fornisce servizi di hosting e vuoi essere sicuro di fare tutto come si deve, rivolgiti al team di Legal For Digital per una consulenza.