La responsabilità delle piattaforme digitali nella pubblicazione non consensuale di contenuti intimi: aspetti di conoscenza e guida pratica per le potenziali vittime
Questo testo traccia un quadro di insieme della disciplina della responsabilità delle piattaforme e dei mezzi di difendersi in caso di pubblicazione non consensuale di contenuti intimi. Le potenziali vittime siamo tutti e ciascuno di noi e dei nostri cari.
È quindi necessario disporre di un arsenale di strumenti per reagire e tutelarsi in ogni modo possibile.
Vogliamo quindi rispondere ad alcuni interrogativi: come devono agire le piattaforme in caso di segnalazione di un contenuto non consensuale, e quando possono essere considerate corresponsabili dei danni subiti dalla vittima a causa della loro inerzia? E specialmente: come è meglio agire per tutelarsi in caso di bisogno?
La disciplina della responsabilità delle piattaforme nel mondo
Quando una foto, un video o un altro contenuto intimo viene pubblicato online senza il consenso di chi viene ritratto, il primo responsabile è colui che lo ha caricato, il quale può essere fatto segno di una sanzione penale, a tacer del risarcimento in sede civile dei danni che provoca.
Tuttavia, anche le piattaforme che ospitano il contenuto, siano esse social network, applicazioni di condivisione, o ancora siti Internet, possono essere in determinati casi chiamate a rispondere del proprio operato.
Va innanzitutto premesso che, nonostante Internet sia uno strumento globale, le regole che la disciplinano possono variare in base a grandi regioni di normazione omogenea o finanche di paese in paese; per tal motivo la pubblicazione non consensuale di un contenuto intimo può ricevere un trattamento diverso a seconda dell’ordinamento giuridico applicabile.
A grandi linee, si può dire che nell’Unione Europea la materia è oggi regolata dal Digital Service Act, Regolamento dell’Unione Europea 2065 del 2022, anche abbreviato DSA. Si tratta di un testo normativo che si applica direttamente ed in maniera omogenea in tutti i paesi che fanno parte dell’Unione, ed ha sostituito la precedente disciplina contenuta nella Direttiva sul Commercio Elettronico, che era stata attuata in Italia con il decreto legislativo 70 del 2003.
Negli Stati Uniti d’America, dove hanno sede le più importanti piattaforme, la normativa di riferimento è invece la sezione 230 del Communication Decency Act, anche abbreviato DCA, che concede, in linea con l’impostazione storicamente adottata in quel paese, una forte immunità alle piattaforme rispetto ai contenuti pubblicati dagli utenti.
Questa maggiore larghezza accordata nell’ordinamento americano può contribuire a spiegare un atteggiamento che può apparire eccessivamente prudente o francamente omissivo da parte di alcune piattaforme nel rimuovere i contenuti dannosi, benché, quando operino nel contesto dell’Unione Europea, esse siano comunque obbligate a rispettarne l’ordinamento.
Il sistema europeo ed italiano
Nel sistema europeo il principio generale è che le piattaforme non hanno un obbligo generale di sorveglianza preventiva sui contenuti caricati dagli utenti. Non vi è dunque una censura “a tappeto” prima che il contenuto divenga visibile.
La tutela delle vittime è dunque affidata, in linea di principio, ad un meccanismo di tipo reattivo che prevede la rimozione del contenuto su segnalazione della persona interessata (cosiddetto “notice and takedown”).
La piattaforma, una volta che riceva la segnalazione, ha un obbligo preciso di esaminarla, e di rimuovere il contenuto che ne forma oggetto qualora risulti effettivamente illecito.
In questo caso, dunque, la responsabilità della piattaforma può nascere in caso di colpevole inerzia, cioè quando, a seguito di una segnalazione chiara e fondata, non provveda sollecitamente o ignori del tutto la segnalazione, ovvero rifiuti di intervenire con motivazione assente o manifestamente infondata.
In casi estremi di inerzia protratta troppo a lungo, o per l’assenza di motivazione in rapporto a situazioni di particolare gravità, potrebbe addirittura ipotizzarsi una corresponsabilità dell’illecito penale, configurandosi una forma di concorso omissivo nel reato commesso da chi ha pubblicato il materiale.
A questo meccanismo si affianca anche un mezzo di tutela di tipo preventivo, che permette di agire prima che i contenuti vengano diffusi online. Questo diverso mezzo di tutela ha tuttavia dei limiti e porta a conclusioni diverse in tema di responsabilità della piattaforma.
Esiste infatti una procedura, accessibile tramite l’URL https://www.gpdp.it/web/guest/temi/revengeporn , che permette alla persona che ha timore che contenuti che la riguardano possano essere pubblicati online senza il suo consenso, di segnalare al Garante per la Protezione dei Dati Personali tale circostanza.
La procedura permette anche, tramite l’apposita funzione del modulo, di caricare dal proprio dispositivo un hash del materiale oggetto della segnalazione, qualora la persona che esegue la segnalazione ne disponga di una copia.
Come si è accennato, la funzione di caricamento prevede che il dispositivo usato per la segnalazione calcoli un’impronta digitale unica del file del contenuto illecito, chiamata hash. Si tratta di una stringa di codice alfanumerico che è collegata in maniera inscindibile a quel file.
Solo questo hash, e non l’immagine originale, viene inviato alle piattaforme tecnologiche che aderiscono al protocollo, le quali inseriscono la stringa in una loro “lista nera”. I loro sistemi, dunque, comparando automaticamente l’hash ricavato dai contenuti caricati dagli utenti con la lista nera, se trovano una corrispondenza non permettono il caricamento, ed il contenuto non diviene mai pubblico.
I motivi di questo modo di procedere sono chiari: da una parte le piattaforme non vedono mai il contenuto segnalato, e dall’altra parte l’uso dell’hash permette di mantenere sostenibile a livello computazionale il procedimento, perchè si usa solo una stringa relativamente breve di caratteri, e non una comparazione diretta delle immagini o dei video, che sono file molto estesi e “pesanti”.
I limiti di questa procedura sono tuttavia molti. In primo luogo, non tutte le piattaforme hanno aderito al protocollo di cooperazione con il Garante, anche se le principali, come ad esempio quelle del gruppo Meta, lo hanno fatto.
Inoltre, questa procedura non può impedire la condivisione del materiale non consensuale su canali privati, come ad esempio le applicazioni di messaggistica (WhatsApp o Telegram), o tramite e-mail, e la condivisione off line, per esempio via chiavetta USB.
Ma esiste un altro limite che più importa ai fini della responsabilità delle piattaforme, e cioè il fatto, inerente alla natura dell’ algoritmo di produzione dell’hash, che in caso di modifiche anche piccole dell’immagine o video l’hash cambia completamente.
Basta dunque che l’immagine sia ruotata, filtrata, o il video sia editato o ritagliato perché non vi sia più identità con l’hash caricato in sede di segnalazione, e dunque il file modificato sfugga al controllo, pur ritenendo tutta la sua potenzialità dannosa.
Da quanto appena detto consegue che, nonostante il danno si produca, la piattaforma va esente da responsabilità e si ricade nuovamente nella tutela di tipo reattivo sopra descritta, per cui rileverà la diligenza e tempestività di risposta alla segnalazione “notice and take down” da inoltrarsi dopo che il contenuto modificato sarà apparso.
Sotto altro profilo, la pubblicazione di immagini o video su una piattaforma costituisce un trattamento di dati personali ove la persona ritratta sia riconoscibile, sicché si applica, dalla sua entrata in vigore, anche il Regolamento Generale sulla Protezione dei Dati Personali, Regolamento dell’Unione Europea 679 del 2016, anche abbreviato GDPR.
Ai fini di quest’ultima normativa, la persona che effettua il caricamento assume la qualità di titolare del trattamento, mentre invece la piattaforma è responsabile del trattamento, in quanto agisce eseguendo le istruzioni del titolare.
Quando una persona ritratta nell’ immagine o video sia diversa dal titolare, quest’ultimo può effettuare il trattamento solo sulla base di una valida base giuridica, ché è tipicamente costituita dal consenso di quella persona.
La base legale dunque per definizione manca se la pubblicazione non è consensuale, ed a maggior ragione quando vada a toccare la sfera intima e causi danni e sofferenza tanto da configurare un illecito penale.
Sotto questo aspetto la piattaforma rimane responsabile se non spezza il legame tra sé ed il titolare adottando misure tecniche ed organizzative adeguate per mitigare il rischio di pubblicazione di contenuti illeciti.
In questa prospettiva vanno letti i cambiamenti della normativa specifica intervenuti successivamente all’entrata in vigore del GDPR.
Già nella vigenza della vecchia disciplina, per la verità, la giurisprudenza aveva individuato una distinzione tra provider cosiddetti passivi, che si limitassero ad ospitare i contenuti, e provider attivi, che invece utilizzassero tali contenuti intervenendo in maniera più incisiva, ad esempio operando una selezione, o indicizzando e raccomandando mediante appositi algoritmi di organizzazione.
In questo secondo caso i giudici tendevano a richiedere una maggior diligenza da parte dei provider onerandoli di adottare misure preventive generali per mitigare il rischio di pubblicazione di contenuti illeciti.
Il Digital Services Act ha rafforzato gli obblighi gravanti sulle piattaforme, soprattutto per quanto riguarda quelle di grandi dimensioni, designate Very Large Online Platforms, in acronimo VLOPS.
Anche se non è stato introdotto alcun obbligo generale di sorveglianza preventiva, infatti, i provider devono comunque effettuare periodicamente valutazioni del rischio di sistema, che include anche la possibilità di diffusione di contenuti illeciti.
Quando tale diffusione avvenga, le piattaforme sono anche tenute alla trasparenza nelle procedure di moderazione conseguenti alle richieste di rimozione, offrendo modalità facili da seguire per effettuare tali richieste, e fornendo motivazioni chiare e puntuali delle decisioni prese, specialmente se esse non accolgano le segnalazioni e concludano per il mantenimento della pubblicazione.
Suggerimenti pratici
A questo punto è possibile fare il punto e trarre conclusioni pratiche sul da farsi in caso di possibile pubblicazione non consensuale di materiale intimo che ci riguardi.
In primo luogo, se la pubblicazione non è ancora avvenuta, ma si ha timore che immagini o filmati possano essere usati contro il nostro consenso, possiamo usare il meccanismo preventivo per tentare di impedirlo.
Se comunque la pubblicazione sia già avvenuta, useremo il meccanismo reattivo di notice and take down per fare in modo che il contenuto sia rimosso nel più breve tempo possibile.
Inoltre, occorre rivolgersi alle autorità di pubblica sicurezza per sporgere querela o procedere alla denuncia dei fatti, per dare la stura alle ulteriori misure adottabili in quella sede dalla magistratura.
Qualora le piattaforme si dimostrino negligenti o addirittura riottose, all’accertamento dell’illecito penale può conseguire una responsabilità in sede civile ed amministrativa e, in casi estremi, una corresponsabilità penale.
Occorre sempre ricordare che presupposto necessario di ogni azione che è possibile intraprendere per reagire in questi casi è la conservazione diligente e legalmente valida delle prove digitali.
Un semplice screenshot infatti potrebbe non essere sufficiente a sostanziare una prova forense valida in caso di esame della fattispecie in sede amministrativa o processuale. A questo proposito le associazioni che si occupano della lotta al fenomeno della condivisione non consensuale di materiale intimo e della difesa delle vittime possono svolgere un ruolo prezioso, oltre ad aiutare in altri modi, ad esempio dando supporto psicologico.
Alcune di queste associazioni possono rivestire la qualifica di segnalatori attendibili ai sensi del DSA e pertanto le piattaforme sono particolarmente sensibili per le forti sanzioni cui vanno incontro in caso di inadempimento.
Articolo a cura dell’Avv. Marcello Mancuso
