Introduzione: Le basi del diritto

Diritto oggettivo e soggettivo

Il diritto oggettivo è l’insieme delle norme giuridiche poste dallo Stato. Poiché tali
norme sono poste, viene anche indicato come diritto positivo (dal latino positum nel
significato di posto, disposto, stabilito). Si divide in due settori

• Diritto pubblico: è l’insieme delle norme giuridiche che disciplinano

l’organizzazione dello Stato e i rapporti tra Stato e privati quando lo stato esercita
un potere di supremazia.
• Diritto privato: è l’insieme di norme giuridiche che disciplinano i rapporti tra
privati e tra privati e Stato quando lo stato non esercita un potere di supremazia.

Il diritto soggettivo è il potere di far valere un proprio interesse riconosciuto meritevole

di tutela da una norma del diritto oggettivo. In altre parole, è il potere che lo Stato
attribuisce a un soggetto di tenere un determinato comportamento o di pretendere che
altri tengano un determinato comportamento per la tutela di un proprio interesse. Non
tutti gli interessi delle persone diventano automaticamente diritti soggettivi. Il diritto:

• Individua quali interessi sono meritevoli di protezione legale.

• Riconosce questi interessi come diritti soggettivi.
• Garantisce la loro effettiva tutela attraverso le istituzioni statali.

Il diritto si manifesta attraverso costituzioni, leggi, consuetudini e giurisprudenza, ed è

applicato da istituzioni competenti come i tribunali (che accertano se il diritto è stato
violato) la forze dell'ordine (che possono intervenire coattivamente per farlo rispettare)
e le autorità governative.

Fonti del diritto

Con fonte del diritto la teoria generale del diritto indica ogni atto giuridico avente forza
di legge o altro elemento in forza del quale vengano emanate, modificate o eliminate le
norme giuridiche in un determinato ambito giuridico.

Lo scopo delle fonti del diritto è duplice:

• da un lato, costituire il sistema normativo di riferimento che regola la vita di una

determinata collettività (il c.d. diritto oggettivo);
• dall’altro, garantire la conoscibilità delle norme, in modo che chiunque possa
averne contezza e rispettare le prescrizioni impartite.

Quindi si distinguono
 • Le “fonti di produzione” hanno lo scopo di produrre diritto. Si identificano con
gli atti e i fatti che l’ordinamento riconosce idonei a produrre norme giuridiche.
• Le “fonti di cognizione” sono invece rappresentate da testi normativi
(Costituzione della Repubblica Italiana, Gazzetta Ufficiale, codici…), contenenti
norme giuridiche già formate di cui assicurano la conoscibilità legale.

La legge, fonte del diritto per antonomasia, è uno strumento formale con cui vengono
create le norme giuridiche. Tiene in considerazione sotto entrambi i profili: come fonte
di produzione, in riferimento al processo di formazione delle leggi previsto agli artt. 70 e
ss. della Costituzione, e come fonte di cognizione, in veste di atto normativo già
esistente, contenente norme giuridiche vigenti.

L’indicazione delle fonti del diritto italiano è contenuta all’art. 1 delle “Disposizioni
sulla legge in generale” che precedono il Codice civile, comunemente dette
“preleggi”. Esso comprende soltanto: le leggi; i regolamenti; gli usi.

Si tratta però di una previsione incompleta, dovuta al fatto che le preleggi sono entrate
in vigore assieme al Codice civile nel 1942, quindi non tengono conto né dell’avvento
della Costituzione, né dell’adesione dell’Italia all’Unione Europea.

Gerarchia delle fonti in Italia

Le fonti hanno un ordine gerarchico: una fonte può essere modificata o annullata solo
da una fonte pari o superiore. Ecco la gerarchia nel sistema giuridico italiano:

1. Fonti costituzionali: Costituzione, leggi costituzionali e di revisioni

costituzionale.
2. Fonti dell’Unione Europea (in molti casi prevalgono sulle fonti interne. con il
solo limite dei principi fondamentali e dei diritti inviolabili che costituiscono il
c.d. “nucleo rigido” della Costituzione italiana.)
3. Fonti legislative: leggi ordinarie, decreti legislativi, decreti-legge
4. Fonti regolamentari: Regolamenti governativi, regionali e di enti locali.
5. Consuetudine (vale se non esiste una norma scritta su quel punto)

Il criterio gerarchico sancisce infatti la prevalenza della fonte di rango superiore

rispetto a quella di livello inferiore, precludendo a quest’ultima di derogarvi o di porsi in
contrasto con il contenuto della fonte sovraordinata, pena la declaratoria
di illegittimità e la sua definitiva rimozione dall’ordinamento.

Legge ordinaria
È l’atto normativo principale approvato dal Parlamento (Camera dei deputati e Senato),
attraverso l’iter legislativo ordinario.
Atti aventi forza legge
Sono norme emanate dal Governo che, in via eccezionale, hanno lo stesso valore di una
legge ordinaria. Sono un'eccezione al principio per cui solo il Parlamento fa le leggi.

• Decreti legislativi: Il Parlamento delega al Governo il potere di legiferare su

materie specifiche.
• Decreti-legge: Utilizzati in casi straordinari di necessità e urgenza, quando non
c’è tempo per l’iter legislativo normale (Il Governo adotta il decreto, lo presenta
subito alle Camere e il Parlamento ha 60 giorni per convertirlo in legge).

Regolamenti
Sono atti normativi secondari, cioè fonti del diritto subordinate alla legge, emanati da
organi del potere esecutivo (principalmente il Governo) o da enti pubblici, e servono per
attuare, integrare o specificare le leggi.

1. Regolamenti di esecuzione: vengono adottati per dare più agevole applicazione

alle leggi, agli atti aventi valore di legge e ai regolamenti comunitari.
2. Regolamenti di attuazione e integrazione; sono emanati nei casi in cui norme
di rango primario pongano una disciplina di principio che, per produrre i suoi
effetti, abbisogni di una disciplina di dettaglio.
3. Regolamenti indipendenti: regolano settori non disciplinati dalla legge e su cui
non gravi una riserva di legge assoluta.
4. Regolamenti organizzativi: per il funzionamento delle pubbliche amministraz.;
5. Regolamenti delegati o di delegificazione.

Fonti del diritto UE

Unione europea: si fonda su trattati tra stati

• Parlamento europeo, composto dai rappresentanti dei cittadini degli Stati

membri eletti a suffragio universale diretto.
• Consiglio dell’UE: (o "Consiglio dei ministri"), formato da un rappresentante di
ciascuno Stato membro a livello ministeriale che si occupa della stessa materia
a livello statale.
• Consiglio europeo: stabilisce gli orientamenti politici generali e
le priorità dell'Unione riunendo un rappresentante per ogni Stato: il Capo di Stato
(se si tratta di repubbliche semipresidenziali o presidenziali) o quello di Governo
(se si tratta di monarchie o repubbliche parlamentari).
• Commissione = governo dell’unione europea (parte esecutiva propone direttive
alla parte legislativa) costituita da ministri. Rappresenta gli interessi generali
dell'UE, è formata da un Commissario per Stato membro.
 • la Corte di giustizia dell'Unione europea garantisce l'applicazione uniforme del
diritto dell'Unione europea e risolve le controversie tra le istituzioni dell'UE e gli
Stati membri e contro le istituzioni dell'UE.
• la Corte dei conti europea indaga sulla corretta gestione delle finanze all'interno
delle entità dell'UE e sui finanziamenti dell'UE forniti ai suoi Stati membri.

Diritto primario
Le principali fonti del diritto primario sono

• i trattati istitutivi dell’Unione: il TUE, il TFUE

• il trattato sulla Comunità europea dell’energia atomica (Euratom).

Tali trattati stabiliscono la ripartizione delle competenze (poteri) tra l’Unione e gli Stati
membri dell’Unione, definendo i poteri delle istituzioni dell’Unione (ovvero il contesto
del diritto entro il quale le istituzioni dell’Unione operano per attuare le politiche).

• le modifiche dei trattati dell’Unione;

• i protocolli allegati ai trattati istitutivi e ai trattati modificativi;
• i trattati sull’adesione di nuovi Stati membri all’Unione;
• la Carta dei diritti fondamentali (dal Trattato di Lisbona — dicembre 2009).

Diritto derivato
Il diritto derivato comprende atti giuridici che si dividono in due categorie:

• Quelli elencati nell’articolo 288 TFUE: regolamenti, direttive, decisioni, pareri e

raccomandazioni;
• Quelli non elencati nell’articolo 288 TFUE: atti atipici, come per esempio i
regolamenti interni delle istituzioni e gli accordi interistituzionali.

Regolamento: Norma generale e astratta, immediatamente applicabile in tutti gli Stati

membri. Entrano in vigore direttamente in ogni Stato dell’UE nel momento in cui sono
pubblicati sulla Gazzetta Ufficiale dell’Unione Europea.

Direttiva: Fissa obiettivi vincolanti, ma lascia agli Stati la scelta dei mezzi per attuarla.
Gli Stati membri devono recepire la direttiva nel proprio ordinamento nazionale (cioè,
fare una legge interna che realizzi ciò che la direttiva chiede).

Decisione: Atto rivolto a uno o più destinatari specifici (Stati, imprese, persone)

Raccomandazioni, pareri: Non vincolanti, hanno valore consultivo o orientativo.

Lezione 2: Le basi del contratto
La nozione di contratto è contenuta all’art.1321 del Codice civile, che lo definisce
l’accordo di due o più parti per costituire, regolare o estinguere tra loro un rapporto
giuridico patrimoniale.

È una forma di comunicazione legale, che possa produrre effetti in termini di diritto,
ovvero effetti giuridici rilevanti (costituire, regolare o estinguere rapporti giuridici).

• È necessariamente bi o plurilaterale (presenza di almeno due parti).

• Ha sempre natura patrimoniale (non incide su rapporti di carattere personale).
• Può essere stipulato in forma scritta o orale.
• Può avvenire in forma solenne o con una dinamica semplice e informale
(accordo tra me e un mio amico).
• Lo scambio di consensi: e’ essenziale per la validità del contratto; una parte
proponente dice una proposta, che deve essere accettata dalla parte
destinataria (altrimenti il contratto non può essere concluso).

L’obbligazione è il rapporto che sta alla base del contratto: un soggetto, chiamato
debitore, deve eseguire una determinata prestazione a favore di un altro soggetto, il
creditore. (es. offerta al pubblico: entro in un negozio in cui sono presentate offerte. Nel
momento in cui manifesto di acquistare quel bene, il contratto è stipulato).

Alcuni contratti che rientrano nella forma solenne sono:

1. Compravendita immobiliare: sono importanti la trascrizione e la tracciabilità.

2. Donazione: ha bisogno di due testimoni, il destinatario deve accettare ciò che
viene donato, se il contratto avviene non in forma scritta potrebbe venire meno
se qualcuno decidesse di obbiettare.

Elementi del contratto

Elementi essenziali (Art.1325 c.c.)
sono quelli che non possono mancare all’interno del contratto, che altrimenti
risulta invalido e inefficace.

1. Accordo: definito l’incontro delle manifestazioni di volontà dei contraenti, che si

perfeziona con proposta e accettazione delle parti.
2. Oggetto: Si tratta della cosa o del comportamento oggetto dello scambio, della
promessa o del conferimento dell’una all’altra parte. Deve essere lecito (non
contrario a norme imperative), possibile (sia naturalmente che giuridicamente) e
determinato o determinabile.
 3. Causa: comunemente definita la funzione economico – sociale del contratto,
ossia una sintesi degli effetti essenziali che questo è in grado di produrre.
4. Forma: È il mezzo con cui si manifesta la volontà negoziale (orale, scritta…). Nel
nostro ordinamento vige il principio di libertà formale; in alcuni casi, tuttavia,
l’ordinamento subordina la validità del contratto all’utilizzo della forma scritta.

Elementi accessori/accidentali
Sono meramente eventuali, quindi le parti sono libere di inserirli o meno, in forza
dell’autonomia contrattuale loro riconosciuta, senza che ciò pregiudichi la validità. Dal
momento però in cui le parti decidono di includerli, tali elementi diventano parte
integrante del contratto e quindi obbligatori e vincolanti per i contraenti.

• Condizione (lo scambio avverrà a condizione che…): è un evento futuro e incerto

cui le parti subordinano l’inizio (condizione sospensiva) o la cessazione
(condizione risolutiva) degli effetti del contratto. Deve essere possibile e lecita.
• Termine (lo scambio deve avvenire entro..): è un evento futuro e certo cui le parti
subordinano l’inizio (termine iniziale) o la cessazione (termine finale) di efficacia.
• Modo o onere: si tratta di un obbligo imposto al destinatario dell’atto gratuito,
allo scopo di limitarne gli effetti.

Fasi del contratto

Fase preliminare (trattative)
È la fase in cui le parti discutono le condizioni del futuro contratto (scambio di
informazioni, visioni di documenti, ecc, che possono mettere alla luce possibili cose
che devono essere regolate dal contratto).

Le parti devono comportarsi con buona fede (art. 1337 c.c.). Il ruolo della buona fede è
diventato importante in modo tale se una delle due parti viene meno a quest’obbligo
l’altra può chiedere un risarcimento. (ad es. in caso di volontaria omissione di cose che
potrebbero ledere una parte, oppure recesso improvviso e ingiustificato di una parte).

Fase centrale (accordo)

È la fase in cui nasce giuridicamente il contratto, attraverso l’incontro tra proposta e
accettazione (artt. 1321 e ss. c.c.), ovvero si ha lo scambio di consensi tra le parti.

Fase patologica (eventuale)

La fase patologica del contratto è quella in cui si verificano problemi o anomalie che
impediscono al contratto di produrre effetti regolari, oppure ne compromettono la
validità o l’esecuzione. A seconda del vizio, la patologia contrattuale può essere più o
meno grave; Le principali situazioni patologiche sono:
 1. Nullità: il contratto viene meno come se non fosse mai esistito (retroattività). Si
ha in caso di mancanza di un elemento essenziale, se la causa, il motivo o
l’oggetto sono illeciti o se il contratto è contrario a norme imperative, all’ordine
pubblico o a un buon costume.
2. Annullabilità: fa decadere gli effetti del contratto ma gli effetti che si sono
sviluppati fino a quel momento rimangono; è la condizione giuridica patologica
del contratto. l’annullabilità è solo testuale, per cui sussiste solo nei casi
espressamente previsti per legge; alcuni casi tipici sono errore, violenza o dolo.
3. Inefficacia: Il contratto è valido, ma non produce effetti, del tutto o in parte, per
ragioni esterne o temporanee.
4. Risoluzione: Scioglimento del contratto per inadempimento, impossibilità
sopravvenuta, o eccessiva onerosità (artt. 1453–1469 c.c.). è una forma di
invalidità che opera rispetto ad anomalie che si manifestano dopo la
conclusione del contratto.
5. Rescissione: Annullamento del contratto per vizi gravi nelle condizioni in cui è
stato concluso, come stato di pericolo (art. 1447 c.c.) e stato di bisogno con
approfittamento (art. 1448 c.c.).

Mentre nullità e annullabilità si applicano indistintamente a tutte le tipologie di

contratto, rescissione e risoluzione operano solo rispetto ai contratti a prestazioni
corrispettive, ovvero in cui ciascuna parte è sia creditore sia debitore: deve dare
qualcosa, ma anche ricevere qualcosa (ad es. la compravendita: io ti do una cosa
(bene), tu mi dai dei soldi (prezzo))

Situazioni eccezionali
Il contratto si può sciogliere per vari motivi, oltre per l’inadempimento
(L’inadempimento è volontario e per liberarsi dall’obbligo risarcitorio la parte deve
dimostrare che le cause di questo siano involontarie).

Impossibilità sopravvenuta
Si verifica quando non è più possibile eseguire la prestazione prevista dal contratto, per
causa non imputabile (cioè, non colpevole) a chi doveva eseguirla. Se totale il contratto
si scioglie automaticamente. Se parziale si può chiedere una riduzione della
prestazione o la risoluzione parziale.

Eccessiva onerosità sopravvenuta

È quando, per cause straordinarie e imprevedibili, l’esecuzione della propria
prestazione è diventata troppo onerosa (cioè, sproporzionata) per una delle parti. La
parte svantaggiata può chiedere al giudice di sciogliere il contratto. L’altra parte può
evitare lo scioglimento offrendo una modifica equa delle condizioni.
Conclusione del contratto
Il contratto è concluso nel momento in cui chi ha fatto la proposta ha conoscenza
dell’accettazione dell’altra parte; dunque, tramite l’incontro delle rispettive
manifestazioni di volontà (c.d. principio consensualistico).

Alla regola del principio consensualistico fanno eccezione i contratti reali (mutuo,
deposito, pegno...), tutti rigorosamente tipici, in cui affinché il contratto possa dirsi
concluso è necessario:

• il consenso delle parti;

• la consegna del bene, vero e proprio elemento costitutivo del contratto.

La legge, salvo casi particolari, consente al proponente di revocare la proposta prima

che il contratto sia concluso e all’accettante di revocare l’accettazione, prima che il
proponente ne abbia avuto conoscenza.

Il contratto, una volta concluso, ha forza di legge tra le parti, le quali sono tenute ad
osservarlo e restano vincolate al suo contenuto che ne regola i rapporti reciproci al pari
di una norma di legge. Infatti, il contratto (concluso) non può essere sciolto che
per mutuo consenso (cioè, di comune accordo) o per cause ammesse dalla legge. Tra
questi ultimi figura il recesso (art. 1373 c.c.), ossia il diritto di una parte di sciogliersi
unilateralmente dal vincolo contrattuale senza bisogno di violazioni da parte dell’altro,
tramite una dichiarazione comunicata all’altra parte. l recesso non fa propriamente
venir meno il contratto ma pone fine al rapporto giuridico che da esso origina.

Può essere richiesto il risarcimento del danno se vi è inadempimento del contratto

stesso, provando che sussiste un contratto e allegando l’inadempimento. Quindi
adempiere alla prestazione è un obbligo del contratto.

Effetti del contratto

Gli effetti del contratto sono le conseguenze che questo produce sul rapporto giuridico
patrimoniale di riferimento (creandolo ex novo, regolandolo o estinguendolo). Di regola,
il contratto produce effetti solo tra le parti (principio di relatività), con eccezioni:

• Contratto a favore di terzo (art. 1411 c.c.): una parte stipula un contratto per far
ottenere un vantaggio a un terzo.
• Opponibilità ai terzi: per esempio, la trascrizione nei pubblici registri rende
opponibili ai terzi alcuni effetti (es. compravendita immobiliare).
Clausole del contratto
Un contratto può essere arricchito in base alla libera scelta delle parti (a meno che non
ci siano violazioni di norme imperative o principi fondamentali), aggiungendo clausole.
Una clausola è una singola disposizione contenuta in un contratto, che regola un
aspetto specifico del rapporto tra le parti.

Ad esempio, far parte di un social presuppone che si sia stipulato un contratto tra
utente e social. Nei contratti “per adesione” – come quelli dei social network, app,
abbonamenti online, ecc. – le condizioni generali di contratto sono predisposte da
una sola parte e l’altra può solo accettare il contratto per intero, oppure rifiutarlo (non
c’è vera trattativa). Questo meccanismo è legittimo, ma può portare a squilibri
contrattuali, specie a danno del consumatore.

Clausole vessatorie
Una clausola vessatoria è una clausola che, senza essere stata negoziata, causa un
significativo squilibrio tra le parti nei diritti e obblighi derivanti dal contratto.

Comunicazione online
Stipuliamo un contratto anche quando creiamo un account su un social; infatti,
accettiamo un contratto unilaterale prescelto dal social. In questo contesto i dati
personali assumono un valore economico. Con l’introduzione dei social e di Internet è
sorto un problema, cosa è lecito e cosa non online? Ad esempio, con l’interazione tra
utenti potrebbe essere pubblicato un commento diffamatorio, in quel caso la parte lesa
può richiedere un risarcimento per danno morale o patrimoniale.

Quando un soggetto utilizza i social network, la visibilità che raggiunge può avere
implicazioni giuridiche e professionali.

Ogni utente ha una "sfera di conoscibilità", cioè un livello di esposizione pubblica. Se

questa visibilità supera una certa soglia, e viene sfruttata in modo sistematico e
professionale, può dar luogo a un'attività economica vera e propria (es. l'influencer
diventa un libero professionista). In questi casi, l’attività è regolata da norme fiscali,
contrattuali e di trasparenza.

A differenza degli utenti ordinari, l’influencer entra in un sistema contrattuale a tre livelli

1. Con il social network → accetta i termini di servizio (come ogni utente);

2. Con le aziende → stipula contratti per promuovere prodotti/servizi;
3. Con il pubblico → ha obblighi di correttezza e trasparenza (es. dichiarare i contenuti
sponsorizzati, come richiesto dalle linee guida AGCM e dalle autorità europee).
Questo significa che la comunicazione online può produrre effetti giuridici anche se
non c'è un contratto formale o scritto. Il soggetto viene esposto nel mondo online a
determinati obblighi: bisogna essere consapevoli che la comunicazione online può
generare un rapporto contrattuale o giuridico, che sia solenne o meno.

Rapporti tra impresa e consumatore

Nel diritto, il consumatore è considerato la parte debole perché ha:

• Meno informazioni tecniche o legali,

• Meno potere contrattuale rispetto all’impresa.

Il Codice del Consumo ([Link]. 206/2005) stabilisce tutele specifiche per il

consumatore: Obbligo di trasparenza da parte dell'impresa; Obbligo di informazioni
chiare su prezzi, condizioni, diritto di recesso, garanzie, Nullità automatica di clausole
vessatorie non approvate.

Rapporti tra imprese

Nei contratti tra due imprese, invece, spesso c’è un disequilibrio economico (es.
piccola impresa vs multinazionale). In questo caso anche se non c’è un “consumatore”,
il diritto tutela l’equilibrio di mercato: la parte economicamente più forte non può
abusare della sua posizione dominante. Quindi l’impresa con maggiore forza
economica ha maggiori obblighi (obbligo di trasparenza, divieto di concorrenza sleale
(art. 2598 c.c.), divieto di abuso di dipendenza economica (art. 9 L. 192/1998)).

Esercizio dei diritti

Essendo il web un ambiente autonomo (una volta che una notizia esce non si sa quanto
resta nel web), quindi non può esserci un controllo preciso. In questi casi il controllo
non può essere preventivo ed assoluto, ma la tutela viene applicata nel momento in cui
è necessario farlo.
Lezione 3: Trattamento dei dati personali
Che cosa si può fare con i dati personali secondo l’UE? Nel 1995 ci fu la prima direttiva
sulla protezione dei dati personali. In Italia si è tradotta poi in una normativa nel 2003:
codice in materia di protezione dei dati personali (decreto legislativo 196).

Ovviamente la normativa col tempo divenne non più adeguata, quindi nel 2016 venne
riformata abrogando la direttiva del 95 e sostituendola con un atto, vincolante ed
efficace in tutti gli stati, chiamato GDPR (general data protection regulation 679).
Esso pone le basi per un legittimo trattamento Quindi oggi il modo in cui usare le
informazioni è disciplinato in tutti gli stati dell’UE allo stesso modo. In realtà ancora oggi
vige in Italia il codice del 2003 relativamente ad alcuni specifici aspetti che erano stati
aggiunti rispetto alla direttiva del 95 (ad esempio l’uso personale dei dati relativi alle
persone defunte).

Dati personali
Il dato personale, secondo l'art. 4, par. l, è un'informazione relativa a una persona
identificata (a cui sono attribuite certe informazioni) o identificabile (cioè, che può
essere riconosciuta indirettamente, grazie a qualche altra informazione che la collega a
lei). (questa definizione non coincide con le informazioni riservate).

Un dato è personale se si può risalire alla persona, anche solo in teoria. Ma

attenzione: bisogna valutare quanto sia facile farlo nella pratica, applicando al concetto
di "identificabilità" un criterio "relativo", ossia si guarda a chi tratta il dato e quanto è
probabile che possa risalire all’identità della persona. Per una grande azienda
tecnologica anche dati che sembrano anonimi sono personali, perché ha strumenti
molto potenti per collegarli a persone reali.

Un dato smette di essere personale quando viene anonimizzato, cioè non è più
possibile collegarlo a una persona direttamente, o è estremamente improbabile che chi
tratta il dato possa ricostruire quel collegamento

Accanto ai dati anonimi, il GDPR conosce i dati pseudonimi o pseudonimizzati, ossia

quei dati ancora personali, ma per i quali l'attribuzione a uno specifico interessato
richiede l'utilizzo di informazioni aggiuntive, a loro volta conservate separatamente e
soggette a misure tecniche e organizzative di sicurezza

Oltre ai trattamenti non automatizzati e a quelli che non riguardano dati personali, il
GDPR non si applica se i dati sono relativi a

1. Persone non più viventi

2. Persone o comunque soggetti giuridici diversi dalle persone fisiche, quali
associazioni, fondazioni, società o altri enti.
Inoltre, vengono esclusi i trattamenti «effettuati da una persona fisica per l'esercizio
di attività a carattere esclusivamente personale o domestico».

Una categoria più specifica è quella dei dati particolari, ovvero informazioni più delicate
rispetto ad altre, quindi che vanno protette di più, che riguardano l’individuo e
riguardano diversi aspetti della persona (opinioni politiche, appartenenze sindacali,
credo religiosi, orientamento sessuale, salute, dati biometrici, condanne penali).
L’utilizzo di questi dati potrebbe avere conseguenze negative sugli altri e sull’individuo
stesso; quindi, sono molto più protetti dalla legge.

Trattamento di dati personali

È qualsiasi operazione che abbia ad oggetto i dati personali (raccogliere, modificare,
pubblicare, aggiornare) e può essere fatto a certe condizioni regolate dal GDPR. Ad
esempio, un software può utilizzare i dati personali in vari modi, quindi deve rispettare
le norme sul trattamento dei dati personali.

Il diritto si occupa di tutelare la circolazione dei dati personali.

• I dati personali devono circolare liberamente, poiché il mondo moderno ha

bisogno della loro circolazione. L’individuo non può impedirlo, ma con certe
garanzie, ad esempio bisogna avere il suo consenso.
• I dati sensibili non si possono trattare a meno che non esistano delle
circostanze specifiche previste dalla legge.

Titolare e interessato
Il giornalista scrive: La prof Solinas ha ucciso lo studente Renato Izzi. In questo caso
il giornalista sta svolgendo un trattamento di dati personali, ovvero è Il titolare del
trattamento: colui che sceglie di trattare il dato e che si organizza per farlo. Invece la
persona fisica a cui si riferiscono i dati si chiama interessato.

La disciplina del trattamento stabilisce se e come si possono trattare i dati personali.

Quando si possono trattare i dati personali (art. 6, 9, 10 GDPR)

Le condizioni di liceità del trattamento sono indicate negli artt. 6 e 9-10 GDPR.

• Art.6: Si riferisce in generale ai dati personali e indica le sei condizioni di liceità

per il loro trattamento, specificando che «il trattamento è lecito solo se e nella
misura in cui ricorre almeno una delle seguenti condizioni».
o La prima condizione è il consenso dell’interessato.
o Le altre basi sono dette content-based: si fondano su un bilanciamento
oggettivo dei rischi, non su una decisione soggettiva dell’interessato.
Il GDPR non favorisce l’uso del consenso come base del trattamento: lo circonda di
molte garanzie per assicurarne l'effettività (Compare per primo, ma è residuale: si usa
solo quando non si applica un’altra base). L’obiettivo è renderlo una base più difficile
da usare, rispetto a quelle content-based.

• Art. 9: Si riferisce ai dati personali che «rivelino l'origine razziale o etnica, le

opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza
sindacale» o che corrispondano a «dati genetici, dati biometrici intesi a
identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita
sessuale o all'orientamento sessuale della persona».

Di base si vieta il trattamento delle categorie dei dati ivi richiamate, ritenendolo
ammesso solo al ricorrere delle condizioni di liceità che figurano nel paragrafo 2. In
particolare, se il loro trattamento è necessario per motivi di interesse pubblico nel
settore della sanità pubblica (protezioni da gravi minacce di carattere transfrontaliero).

• Art 10: Si riferisce ai dati relativi «alle condanne penali e ai reati o a connesse
misure di sicurezza». Essi sono trattabili solo se sotto il controllo dell’autorità
pubblica, oppure se autorizzati da una legge (dell’UE o dello Stato membro) che
prevede garanzie appropriate.

L’art 6 del GDPR elenca le basi giuridiche giustificative del trattamento:

1. Consenso della persona interessata

Esso deve essere:

• Specifico (per quale fine si acconsente che il dato venga trattato?).

• Informato (il titolare deve dare informazioni all’interessato.)
• Libero (non si può condizionare all’ottenimento di un vantaggio o al rischio di
avere uno svantaggio).
• Revocabile (in ogni momento e con la stessa facilità con cui è stato accolto).

Nel caso di dissenso o assenza di consenso ci sono altre condizioni;

2. Contratto
Il trattamento è lecito se «necessario all'esecuzione di un contratto di cui l'interessato è
parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso».
Quindi Il trattamento è lecito solo se necessario. Non si possono raccogliere dati
"extra" che non servono al contratto o alla trattativa.

1. L'interessato ha già firmato un contratto con il titolare del trattamento. Per

rispettare quel contratto, il titolare ha bisogno di trattare i suoi dati.
2. L’interessato non ha ancora firmato un contratto, ma chiede qualcosa che
potrebbe portare alla firma. Anche in questo caso, il titolare può trattare i dati,
ma solo se è davvero necessario per quella fase.
 3. Obbligo legale
Il trattamento è lecito se «necessario per adempiere un obbligo legale al quale è
soggetto il titolare del trattamento» (Un medico cura una persona ferita in un reato: per
obbligo di legge deve avvisare l’autorità, e per farlo deve trattare i dati del paziente).

Quando si parla di "legge" in questo contesto, non si intende solo la legge nazionale, ma
anche norme del diritto europeo e altre fonti del diritto dei singoli Stati membri. In
Italia, però, il [Link]. 101/2018 ha deciso che la base giuridica deve essere una legge
oppure, se previsto dalla legge, un regolamento. Questo può rendere le cose meno
uniformi in Europa, perché ogni Stato può avere regole un po' diverse.

4. Pubblico interesse
Il trattamento è lecito se necessario per «per l'esecuzione di un compito di interesse
pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare».

5. Interessi vitali
Ill trattamento è lecito se «necessario per la salvaguardia degli interessi vitali
dell’interessato o di un'altra persona fisica».(vale anche per i dati sensibili).

Sono situazioni di vita o di morte, di gravi pericoli per l'incolumità fisica di una
persona: È una base eccezionale, da usare solo quando non si può fondare il
trattamento su un’altra base.

Alcuni tipi di trattamento dei dati personali possono rispondere sia a rilevanti motivi di
interesse pubblico sia agli interessi vitali dell’interessato, per esempio se il trattamento
è necessario a fini umanitari, in casi di catastrofi di origine naturale e umana.

6. Interesse legittimo
Il trattamento è lecito se «necessario per il perseguimento del legittimo interesse del
titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti
e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali,
in particolare se l'interessato è un minore».

Qui non c'è bisogno né di consenso né di obblighi di legge, basta che ci sia un
bilanciamento: l'interesse del titolare (es. fare marketing, proteggere i propri sistemi,
informare i clienti) deve essere più forte dei rischi per i diritti dell'interessato. Il GDPR
apre a una certa flessibilità, adattandosi ai cambiamenti tecnologici e sociali, ma
aumenta anche l’incertezza, perché non è sempre semplice stabilire quando un
interesse è davvero "legittimo".

Pubblicità su Social Network: Facebook usa i dati per mostrare pubblicità mirate agli
utenti, basandosi sul suo legittimo interesse economico, non sul consenso esplicito.
Comunque, l'utente può limitare questo tipo di trattamento (art. 21, par. 2 GDPR).
Il trattamento per una finalità diversa da quella indicata al momento della raccolta dei
dati non è tendenzialmente ammesso. In tre casi, tuttavia, esso è eccezionalmente
ritenuto lecito (art. 6, par. 4):

1. C'è consenso dell’interessato;

2. C'è una norma di legge che lo permette (per motivi pubblici importanti);
3. la nuova finalità è compatibile con quella iniziale. la compatibilità va valutata
tenuto conto di svariati elementi: il nesso tra le finalità; il contesto della raccolta;
la natura dei dati personali; le possibili conseguenze dell'ulteriore trattamento;
l'esistenza di garanzie adeguate. Anche qui, com'è facile intendere, il legislatore
eurounitario deve analizzare caso per caso se il cambiamento è accettabile.

Come i dati possono essere trattati (art.5 GDPR)

La disposizione cardine del GDPR, in particolare delle attività di trattamento, è
contenuta nell'art. 5, che pone 7 principi applicabili al trattamento dei dati personali.

a) Liceità, correttezza e trasparenza

Il trattamento deve avvenire in modo lecito, corretto e trasparente all’interessato.
Abbiamo tre modi per interpretare la liceità

1. Necessaria presenza di una base giuridica (condizioni di liceità)

2. Conformità generale a tutte le regole del GDPR
3. Avere la base giuridica giusta + Verificare se è davvero adatta al caso concreto +
Adottare misure minime di sicurezza per ridurre i rischi del trattamento.

Correttezza: Il trattamento deve essere leale nei confronti dell’interessato. Significa

non abusare della propria posizione o usare i dati in modo che rispetti le aspettative di
chi li ha forniti (es. Se una persona si iscrive a una newsletter per ricevere notizie
sportive, non è corretto che l’azienda usi la sua email per inviare pubblicità politica).

Trasparenza: Il trattamento deve essere comprensibile per la persona a cui si

riferiscono i dati. Bisogna informare in modo preciso e accessibile su: chi raccoglie i
dati, perché lo fa, cosa farà con quei dati, per quanto tempo li conserverà (Se un sito
mostra una informativa sulla privacy in legalese tecnico, illeggibile per un utente medio,
non rispetta il principio, anche se tecnicamente ha fornito le informazioni richieste).

b) Limitazione della finalità

Il trattamento deve avvenire per finalità:

1. Determinate (Il titolare del trattamento, prima della raccolta dei dati, deve
definire chiaramente lo scopo per cui raccoglie i dati).
2. Esplicite (La finalità deve essere dichiarata in modo chiaro agli interessati (cioè,
a chi fornisce i dati), di solito nell’informativa privacy).
 3. Legittime (deve fondarsi su una condizione di liceità prevista dal GDPR (cfr. artt.
6 e 9) e correttamente applicata nel caso concreto (supra, sez. II, cap. 1, 3).

Inoltre, affinché un trattamento sia lecito è necessario che i benefici derivanti dal
trattamento stesso superino i rischi. Un simile bilanciamento non può che avvenire
prendendo in considerazione i singoli trattamenti, distinti per il loro specifico scopo
(anche se coinvolgono gli stessi dati).

Una parola a parte meritano, poi, i trattamenti "ulteriori": il GDPR ammette che i dati
siano trattati per finalità anche diverse rispetto a quelle decise prima della raccolta dei
dati. In questo caso, però, non è sufficiente che ricorra una condizione di liceità: è
necessario che i nuovi scopi, decisi esplicitamente prima di iniziare il nuovo
trattamento, siano "compatibili" con quelli originali.

c) Minimizzazione
I dati personali trattati devono essere adeguati, pertinenti e limitati a quanto necessario
rispetto alle finalità di cui si è detto. Significa che si possono raccogliere solo i dati
strettamente necessari per raggiungere uno scopo specifico. Non bisogna raccogliere
“più dati del dovuto” solo per prudenza o per usarli “eventualmente” in futuro.

Il principio è volto soprattutto a ridurre i rischi indiretti posti da ogni trattamento:

limitando la mole dei dati che è permesso raccogliere e conservare, si diminuiscono i
pericoli connessi a un furto o a un uso abusivo degli stessi.

d) Esattezza dei dati

I dati personali non debbono essere solo esatti sin dal momento in cui sono raccolti;
essi debbono anche venire, se necessario, aggiornati, al fine di mantenerne
l'esattezza, ossia la corrispondenza alla realtà delle cose. Inoltre, il titolare del
trattamento deve pure provvedere a adottare tutte le misure ragionevoli per cancellare o
rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati.

L’esattezza dei dati può scontrarsi con altri diritti, come la libertà di espressione. Ad
esempio, se un articolo di giornale online esprime un’opinione controversa o riporta
fatti in modo discutibile, l’interessato può ritenere che i dati siano inesatti, ma il
giornalista potrebbe rivendicare la libertà di critica o di cronaca.

e) Limitazione della conservazione

I dati personali devono essere conservati in una forma che consenta l'identificazione
degli interessati per un arco di tempo non superiore al conseguimento delle finalità
per le quali sono trattati.

Se si continua a trattare i dati anche dopo la fine dello scopo il trattamento diventa
illecito. Infatti, la liceità non è solo richiesta all’inizio, ma deve durare per tutto il
trattamento. Il titolare deve quindi: Verificare periodicamente se lo scopo è ancora
attuale, e se non lo è più, interrompere il trattamento e cancellare i dati.
 f) Integrità e riservatezza
Per tutto il tempo in cui vengono trattati, i dati personali devono essere conservati e
utilizzati in modo tale da garantirne un'adeguata sicurezza.

Il principio segue due direzioni di tutela:

• La protezione dei dati, anche mediante misure tecniche e organizzative

adeguate, da trattamenti non autorizzati o illeciti (dello stesso titolare del
trattamento o di altri soggetti).
• Evitare che i dati vengano persi, distrutti o accidentalmente danneggiati:
(spesso l'interessato desidera che essi continuino a venire custoditi e conservati
e che ciò avvenga correttamente).
Lezione 4: Diritto della comunicazione
Diritto della comunicazione (pensato come diritto oggettivo) è l’insieme di norme che
studiano i comportamenti di chi fa comunicazione, di chi programma i mezzi di
comunicazione; quindi, è l’insieme di tutti i diritti di chi comunica. Oggi l’attività di
comunicazione è ampia e variegata: anche le persone comuni che svolgono attività di
comunicazione. Come possiamo condividere contenuti in modo legale? Che norme ci
sono per la privacy e per i diritti d’autore? Cosa le piattaforme devono fare affinché non
vengano caricati contenuti illegali?

Prima si aveva:

1. Comunicazione giornalistica
2. Mezzi di comunicazione di massa tipo la televisione

Con l’avvento delle tecnologie sono nati nuovi fenomeni di comunicazione, ad esempio
quella commerciale ora non riguarda solo la pubblicità (es. questione chiara Ferragni).
Certe pratiche commerciali devono essere svolte secondo determinate regole.

Dal 2022 abbiamo delle norme per la comunicazione tramite social, regolamentando
sia quello che deve essere pubblicato, sia come le piattaforme devono essere
strutturate per poter evitare che su di esse vengano caricati contenuti illegali.

Diritto classico della comunicazione nel contesto dei dati personali

Il diritto della comunicazione è strettamente legato al diritto di cronaca; infatti, prima di
Internet a comunicare erano solo i giornalisti attraverso la cronaca: per pubblicare una
notizia in modo lecito cosa dovevano rispettare?

Il professor Sorbara ha intascato mazzette da Renato per fargli passare l’esame di fisica:
io giornalista voglio comunicarlo. Cosa chiede il diritto? La soluzione al problema deve
essere trovata nei principi del diritto di cronaca (devono sussistere tutti e tre, se une
manca uno non si può pubblicare la notizia):

• Utilità sociale: deve esserci un interesse pubblico attuale alla diffusione di

quella informazione (non basta che ci sia stato in passato).
• Continenza espositiva: la notizia deve essere raccontata in modo corretto (la
forma linguistica deve essere adatta a fornire una determinata informazione).
• Verità: la notizia deve essere vera o almeno "veritiera" (basata su fatti credibili).

Martina ieri sera è uscito con Leonardo e sono andati al cinema. Non c’è interesse
pubblico quindi non si può pubblicare. Se Leonardo e Martina hanno picchiato
Gualtieri? A questo punto sì ma senza specificare il nome di Leonardo e Martina, ma
solo quello di Gualtieri, essendo una persona pubblica.
Caso Giletti-Del Noce
Questo caso rappresenta un tipico esempio in cui si confrontano due diritti:

1. Il diritto di cronaca e quindi la libertà di stampa e di informazione;

2. Il diritto alla riservatezza e alla reputazione delle persone coinvolte

Per lavorare nella rai alcune showgirls partecipavano a circoli di incontri organizzati da
Matteo per poter lavorare nella rai. Il telefono di Matteo, che era sotto indagine da parte
della procura, è stato sottoposto ad intercettazioni in cui era stata trovata una
conversazione con una presentatrice televisiva, Paola Saluzzi, che si sfogava con lui
perché l’avevano sostituita in un programma per metterci Giletti a causa di favoritismi
del direttore della rai Fabrizio del Noce. Un giornalista, sotto autorizzazione dal suo
direttore ha pubblicato uno spezzone che riguardavano queste intercettazioni nel
contesto dell’indagine di Vallettopoli.

Giletti e Del Noce dicono: ao boni tutti noi non c’entriamo con Vallettopoli quindi
questa pubblicazione è illecita. In quest’ottica, il direttore del giornale avrebbe sfruttato
la visibilità del caso per pubblicare questa notizia, quindi non ci sarebbe interesse
pubblico: nonostante Matteo fosse indagato già in un caso, nell’articolo si parlava
comunque di gente non indagata.

In realtà la cassazione dice che C’è interesse pubblico a conoscere quei contenuti,
anche se le persone coinvolte non sono indagate, perché la vicenda rifletteva una
dinamica sistemica all'interno della Rai. L’interesse sta nel fatto che un’istituzione
pubblica come la Rai utilizzasse certi meccanismi nei criteri di selezione o carriera.

Diritto all’oblio
Il diritto alla privacy è un diritto fondamentale della persona, riconosciuto:

• Dalla Costituzione (art. 2, art. 3, art. 21, art. 13, art. 15),
• Dal Codice in materia di protezione dei dati personali ([Link]. 196/2003
aggiornato dal GDPR - Regolamento UE 2016/679).

Viene chiamato anche diritto alla riservatezza e si manifesta nella pretesa di non
divulgazione di informazioni personali a terzi (senza consenso o al di fuori del
consentito). Nel momento in cui vengono resi si può chiedere un risarcimento del
danno. Oggi possiamo essere risarciti sia per danni economici che per danni morali

Una specifica è il diritto all’oblio, che rivela sia a livello giornalistico, sia online. Esso
consiste nel diritto ad essere dimenticati: una volta che la diffusione di una notizia non
è più giustificata io ho diritto che essa venga cancellata (se per molto tempo viene
pubblicata una notizia che non sia più attuale, il soggetto può esercitare il suo diritto
all’oblio oppure risarcimento).
Nel GDPR il legislatore europeo nella rubrica del diritto alla cancellazione ha fatto
esplicitamente riferimento al «diritto all'oblio». La cancellazione è in questo caso
strumentale all'effettivo esercizio del diritto all'oblio e può essere richiesta solo ove tale
diritto sussista.

Diritto alla personalità vs Diritto alla rievocazione storica

• Il diritto alla personalità prevale quando una notizia vecchia non ha più valore
pubblico: riguarda la dignità, la reputazione, la libertà.
• Il diritto alla rievocazione storica si applica se la notizia ha valore storico-
documentale, per esempio un fatto di cronaca rilevante o una biografia.

La ripubblicazione delle notizie

In origine il diritto all'oblio riguarda la questione della ripubblicazione: una notizia che
era stata correttamente pubblicata in passato, viene ripubblicata a distanza di anni, ma
nel frattempo la persona interessata ha cambiato vita. Tale soggetto ha diritto di essere
dimenticato, o la ripubblicazione della notizia è lecita?

In questo senso, il diritto all'oblio è definito come «il giusto interesse di ogni persona a
non restare indeterminatamente esposta ai danni ulteriori che arreca al suo onore e alla
sua reputazione la reiterata pubblicazione di una notizia in passato divulgata».

Bisogna far riferimento ai principi del diritto di cronaca detti nel paragrafo precedente:
come afferma la giurisprudenza, la ripubblicazione è dunque lecita «solo nell'ipotesi in
cui si riferisca a personaggi che destino nel momento presente l'interesse della
collettività; in caso contrario, prevale il diritto degli interessati alla riservatezza».

Caso Sezioni Unite 2019

Le sezioni unite sono il più alto grado della giurisdizione italiana. Il caso riguardava un
giornale sardo, che conteneva una rubrica settimanale nel quale raccontava i casi di
cronaca nera della Sardegna. Venne pubblicato un inserto con la storia di un uomo che
quarant’anni prima aveva ucciso la moglie. L’interessato si era lamentato poiché’ veniva
raccontava una vicenda passata che non gli apparteneva più poiché aveva scontato la
pena e si era reinserito nella società. In questo caso si può esercitare il diritto all’oblio?
Le Sezioni unite hanno detto di sì perché non c’era più interesse pubblico attuale.

La permanenza delle notizie online e il diritto alla deindicizzazione

L'evoluzione tecnologica consente di archiviare e reperire con maggiore facilità le
informazioni, che spesso rimangono nel tempo facilmente accessibili anche senza
essere ripubblicate. La semplice permanenza delle notizie in rete, dunque, rischia di
impedire a un soggetto di essere "dimenticato".
Con la diffusione dei motori di ricerca, ad essere problematica non è più tanto la
permanenza della notizia sulla rete (che spesso deve essere garantita per esigenze di
memoria storica), ma la facilità con cui tale notizia può essere reperita.

Caso Costeja Gonzales 2014

Se non pago i debiti si avvia l’esecuzione forzata ovvero la forza pubblica prende dei
bene, li vende e paga i creditori: si fa un’asta. Bisogna chiamare all’asta il maggior
numero di persone possibili attraverso il giornale; quindi, è previsto che dell’asta
bisogna dare pubblicazione. Nel 1975 venne data in spagna la notizia che il giorno x si
sarebbe svolta nel tribunale di Barcellona l’asta della vendita di beni immobili di Mario
Costeja Gonzales. Con l’avvento di Google, nel 2014 viene ritrovata la pagina di
giornale: González chiede che, digitando il suo nome su Google, non escano link
riguardanti la vecchia notizia del suo pignoramento.

Al sito non posso chiedere di cancellare la notizia perché’ è come se stessi facendo
falso storico: nel riferire che il giorno x usci il giornale, quel giornale aveva riportato il
dato esatto (c’era interesse pubblico), quindi non si può chiedere di aggiornarlo poiché’
si tratta di un archivio storico. Per quanto riguarda Google, non è lui che sta dando la
notizia quindi boh.

Secondo la Corte di Giustizia un motore di ricerca svolge un vero e proprio «trattamento

di dati personali» (collegamento di dati personali ad una pagina web) e il gestore del
motore di ricerca deve essere considerato come il «titolare del trattamento». In questo
trattamento, l’unico aspetto violato era il mancato rispetto del principio di
aggiornamento del dato da parte di Google, che associava il nome ad una pagina con
una notizia vecchia. Quindi dopo questa vicenda si è deciso che il motore di ricerca «è
obbligato a sopprimere, dall'elenco di risultati che appare a seguito di una ricerca
effettuata a partire dal nome di una persona, dei link verso pagine web pubblicate da
terzi e contenenti informazioni relative a questa persona».

Si riconosce così la prevalenza del diritto alla protezione dei dati personali non soltanto
sull'interesse economico del gestore del motore di ricerca, ma anche sull'interesse del
pubblico ad accedere all'informazione riguardante la persona coinvolta (a meno che
quest'interesse sia particolarmente forte).

Si noti che ad essere guardata con sospetto non è la ricerca di una notizia, ma la ricerca
di notizie relative a una determinata persona. La Corte sanziona, infatti, la ricerca
effettuata a partire dal nome dell'interessato. Si parla quindi di diritto alla
deindicizzazione, ovvero la possibilità di chiedere ai motori di ricerca di non trattare
dati personali vecchi, ovvero di non restituire gli indici della ricerca di pagine vecchie. Il
motore valuta se non c’è più l’interesse pubblico e decide se il trattamento viola il
trattamento dei dati.
Lezione 5: Soggetti del trattamento
Titolare del trattamento
Viene definito come la persona fisica o giuridica, l'autorità pubblica, il servizio o altro
organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del
trattamento di dati personali.

• Se un’azienda o un ente pubblico nomina una persona per gestire i dati, quella
persona non diventa automaticamente il titolare, poiché agirà per conto
dell’organizzazione, che è la vera titolare.
• Se una persona fisica che lavora in una società usa dei dati per scopi propri al di
fuori delle attività della società, tale persona sarà considerata come il titolare.
• La determinazione della "finalità" del trattamento è riservata al titolare del
trattamento. Chiunque prenda questa decisione è quindi (di fatto) il titolare.
• Gli "strumenti" possono invece essere decisi in parte dal titolare (mezzi,
strettamente legati alle finalità e all’ambito del trattamento), oppure delegati ad
altri (mezzi che riguardano aspetti tecnici o organizzativi minori).

Quando un titolare (o un responsabile) del trattamento non è stabilito nell’UE, ma offre

beni o servizi a persone nell'UE o ne monitora il comportamento, allora deve nominare
un rappresentante scritto nell'UE, stabilito in uno degli Stati membri in cui si trovano
gli interessati.

Responsabile del trattamento

Si definisce responsabile del trattamento la persona fisica o giuridica, l'autorità
pubblica o altro organismo che tratta dati personali per conto del titolare. Si tratta
pertanto di una persona distinta dal titolare (ed esterna alla sua organizzazione), ma
chiamata ad elaborare per suo conto dati personali.

• Il responsabile non può trattare autonomamente dati personali, deve seguire le

istruzioni del titolare del trattamento, salvo che lo richieda il diritto dell'Unione
o degli Stati membri.
• Elemento essenziale della relazione fra titolare e responsabile del trattamento
diviene l'accordo da concludersi fra le due figure per iscritto, per motivi di
chiarezza e trasparenza
• Il responsabile deve tenere un registro delle attività di trattamento che svolge
per conto del titolare, il quale deve essere disponibile su richiesta all'autorità di
controllo.
• Il rapporto tra titolare e responsabile è regolato dalla legge o da un contratto.
• Il responsabile deve rispettare i principi del trattamento (art. 5).
Responsabile della protezione dei dati personali (DPO)
È una figura che ha competenze in ambito giuridico nello specifico nel trattamento dei
dati personali. Il GDPR riconosce al responsabile della protezione dei dati (Data
Protection Officer) un ruolo centrale nella nuova disciplina, prevedendo disposizioni
dettagliate in merito a nomina, posizione, compiti e funzioni. In particolare, la nomina
del DPO, solitamente a discrezione dei titolari e dei responsabili del trattamento,
diviene obbligatoria in tre casi:

1. Se il trattamento è svolto da un'autorità pubblica o da un organismo pubblico

(con l'eccezione delle autorità giurisdizionali nell'esercizio delle loro funzioni);
2. Se le attività del titolare o del responsabile consistono in trattamenti che
richiedono il monitoraggio regolare e sistematico di interessati su larga scala;
3. Se le attività principali consistono nel trattamento, su larga scala, di categorie
particolari di dati oppure di dati personali relativi a condanne penali e a reati.

Si specificano, ai sensi dell'art. 39 GDPR, compiti e funzioni del DPO:

• Informare e fornire consulenza al titolare o al responsabile del trattamento,

nonché ai dipendenti che eseguono il trattamento;
• Sorvegliare l'osservanza della normativa GDPR, delle norme dell'Unione
europea e degli Stati membri e delle politiche attuate dal titolare o dal
responsabile del trattamento relative alla protezione dei dati.
• Si rapporta con gli interessati e il garante per la protezione dei dati personali,
ovvero una autorità amministrativa indipendente che vigila sul rispetto delle
normative in termini di dati personali.

Garante per la protezione dei dati personali

Nel GDPR, che prevede l'istituzione in ciascuno Stato membro di una o più «autorità
indipendenti al fine di tutelare i diritti e le libertà fondamentali delle persone fisiche
con riguardo al trattamento e di agevolare la libera circolazione dei dati personali
all'interno dell'Unione». La necessità di un'autorità di controllo è ribadita come garanzia
essenziale della protezione dei dati dalla Carta dei diritti fondamentali dell’UE.

L'autorità di controllo dell'ordinamento italiano è costituita dal Garante per la

protezione dei dati personali (art. 153 ss. cod. privacy), un'autorità amministrativa
composta da un Collegio (eletto dal Parlamento) e da un Ufficio alle sue dipendenze.

Requisito fondamentale delle autorità di controllo è l'indipendenza (art. 62), necessaria

per garantire, nella loro attività, un corretto bilanciamento degli interessi in gioco. Al fine
di assicurarne l'indipendenza, la legge prevede l'autonomia organizzativa, finanziaria e
contabile dell'autorità.
Essendo indipendente, il garante ha un po’ tutti e 3 i poteri: legislativo, esecutivo,
giudiziario, ma è fuori dal governo. Il regolamento indica i compiti e i poteri delle autorità
di controllo (artt. 57 e 58).

• Sorvegliano e assicurano l'applicazione della normativa in questione

attraverso poteri di indagine, correttivi e sanzionatori (per accertare e reprimere
le violazioni), autorizzativi e consultivi (per garantire la corretta applicazione
della normativa) e regolatori (cioè, di emanare provvedimenti generali nei casi
previsti dal regolamento).
• Ricevere e trattare i reclami degli interessati.
• Consulenza agli organi e alle amministrazioni dello Stato per questioni che
hanno a che fare con il trattamento di dati personali
• Promozione della consapevolezza tra il pubblico in merito a tali tematiche

Le autorità di controllo sono dunque organismi nazionali. A livello europeo abbiamo due
organismi principali:

• il Garante europeo per la protezione dei dati personali: Ha competenza solo sui
trattamenti effettuati da istituzioni, organi e organismi dell’Unione Europea.
• il Comitato europeo per la protezione dei dati: È composto dal Garante europeo
e dai rappresentanti delle autorità nazionali di tutti gli Stati membri. Ha la
funzione di garantire un'applicazione coerente della normativa e di promuovere
la cooperazione tra le autorità di controllo nazionali (art. 68 ss. GDPR).

Responsabilizzazione e Responsabilità
Principio di Accountability (responsabilizzazione)
Abbiamo visto i principi del trattamento. Un ultimo principio “di responsabilizzazione”
trova spazio nell'art. 5 e nell'art. 24

In base all'art. 5, par. 2, «il titolare del trattamento è competente per il rispetto del
paragrafo 1 e in grado di comprovarlo». La responsabilizzazione, quindi, impone al
titolare del trattamento due cose: 1. deve assicurare un adeguato standard di
protezione dei dati; 2. deve essere in grado di comprovarlo.

L'art. 24, in particolare, richiede al titolare del trattamento di mettere in atto «misure
tecniche e organizzative adeguate a garantire che il trattamento è effettuato
conformemente al presente regolamento». Dunque dev'essere il titolare a concretizzare
le condizioni di liceità del trattamento, esaminando se esse ricorrano in concreto;

Il GDPR non impone regole rigide e uguali per tutti: spetta al titolare decidere le
misure tecniche e organizzative adeguate, in base a: la natura dei dati, l'ambito di
applicazione, il contesto, le finalità del trattamento, i rischi per le persone fisiche.
Quanto all'onere della prova, esso è posto a carico del titolare del trattamento, il quale
dev'essere in grado di dimostrare di aver adottato lo standard adeguato di protezione
dei dati di cui si è detto. In particolare, ciò significa che, se l'Autorità di controllo gli
dovesse domandare prova del rispetto del regolamento, sarebbe il titolare del
trattamento a dover dimostrare il suo livello di compliance. Ne deriva che il titolare
dovrà tenere in modo accurato i registri previsti dall'art. 30 e dovrà, in generale, preferire
comunicazioni scritte, così da essere in grado un domani di fornire le prove necessarie.

Il GDPR elenca alcune misure concrete che aiutano a garantire (e dimostrare) la

compliance:

1. Privacy by design (Proteggere i dati fin dalla progettazione di un processo o

servizio) e Privacy by default (Impostare la massima protezione possibile dei
dati come configurazione predefinita).
2. Misure di sicurezza adeguate al rischio: Tecniche (es. crittografia) e organizzative
(es. policy interne).
3. Tenuta di registri: Documentare i trattamenti svolti.
4. Nomina del Responsabile della Protezione dei Dati (DPO).
5. Valutazione d’impatto sulla protezione dei dati (DPIA).
6. Adozione di codici di condotta e certificazioni.

La responsabilità per il trattamento illecito di dati personali

Ai sensi del GDPR, «chiunque subisca un danno materiale o immateriale causato da
una violazione del presente regolamento ha il diritto di ottenere il risarcimento del
danno dal titolare del trattamento o dal responsabile del trattamento» (art. 82).

La responsabilità del titolare, in quanto soggetto che determina le finalità e i mezzi del
trattamento, è più ampia di quella del responsabile, che si limita a trattare i dati sul suo
incarico: Il regolamento afferma la «responsabilità generale del titolare per qualsiasi
trattamento di dati personali che abbia effettuato direttamente o che altri abbiano
effettuato per suo conto». Anche se il responsabile agisce illecitamente disobbedendo
alle sue istruzioni, il titolare è comunque responsabile nei confronti dell’interessato.

• Un titolare risponde per il danno cagionato dal suo trattamento che violi il
presente regolamento;
• Un responsabile è tenuto al risarcimento solo se:
I. non ha adempiuto gli obblighi che la legge pone direttamente a suo carico
II. ha attuato un trattamento illecito contravvenendo alle istruzioni del
titolare (insieme al responsabile è tenuto in solido al risarcimento anche
il titolare, che potrà poi rivalersi sul responsabile nella misura in cui il
danno sia stato cagionato da quest'ultimo).
Per avere il risarcimento il danneggiato deve sicuramente dimostrare:

I. La sussistenza di un trattamento
II. Che tale trattamento è riferibile al titolare o al responsabile
III. Che ha subito un danno.
IV. Il nesso causale tra il trattamento e il danno.

L'obbligo di risarcire il danno sorge però solo in presenza di una violazione del GDPR,
ovvero solo in caso di trattamento illecito. Ne deriva che l'interessato dovrebbe
dimostrare anche la sussistenza di una violazione, ma in realtà il GDPR inverte questo
onere alla prova: è chi tratta i dati a dover dimostrare di aver rispettato la normativa. È
dunque sufficiente che l'interessato alleghi una violazione, ma senza doverla provare:
sarà poi il titolare o il responsabile a dover dimostrare di aver fatto tutto bene.

Responsabilità oggettiva
È una responsabilità senza colpa: Chi causa un danno è responsabile
indipendentemente dal fatto che abbia commesso un errore o meno, basta che si
verifichi il danno e che ci sia un nesso causale tra il fatto e il danno. Il danneggiante può
liberarsi solo provando il caso fortuito.

Colpa presunta
Qui si presume che ci sia stata colpa, ma è una presunzione relativa: Il soggetto può
dimostrare di non aver avuto colpa per liberarsi dalla responsabilità, provando provare
di aver agito con tutta la diligenza possibile.

il «titolare o il responsabile è esonerato dalla responsabilità se dimostra che l'evento

dannoso non gli è in alcun modo imputabile». ovvero dando prova di aver fatto tutto il
possibile per evitare il danno. Si tratterebbe dunque non di un caso di responsabilità
oggettiva, ma di colpa presunta: si presume che l'evento dannoso sia imputabile a chi
tratta i dati, ma questi può liberarsi da responsabilità dimostrando di aver rispettato il
regolamento e adottato tutte le misure necessarie.

Infatti, il sistema complessivo del GDPR è basato su un modello di gestione del rischio:
non si pretende che nessun danno avvenga mai; Si pretende invece che chi tratta i dati
valuti i rischi; adotti misure proporzionate (tecniche, organizzative, economiche),
documenti e giustifichi le sue scelte. Ragionando in tal modo, il titolare o il responsabile
che dimostri che non erano disponibili misure tecniche atte a mitigare il rischio
(purché esso sia sufficientemente bassi), o che i costi delle misure di prevenzione
erano eccessivi rispetto a una bassa probabilità e/o gravità del rischio, non sarebbe
tenuto a risarcire i danni.
Lezione 6
Disciplina dei servizi internet
• Contenuto digitale: è stato introdotto per la prima volta nel diritto europeo
dall'art. 2, comma 11 della direttiva 2011/83/EU, che lo ha definito come
l'insieme di dati prodotti e forniti in formato digitale.
• Servizio digitale: definito dall'art. 2. n. 2 della direttiva 770/2019 come un
servizio che consente al consumatore di creare, trasformare, archiviare i dati o di
accedervi in formato digitale (cloud); oppure un servizio che consente la
condivisione di dati in formato digitale caricati o creati dal consumatore e da altri
utenti di tale servizio (social networks).

Digital Serivces Act (regolamento sui servizi digitali)

Il Digital Services Act (Regolamento UE 2022/2065) ha lo scopo di regolare i servizi
digitali, in particolare le grandi piattaforme online, per garantire un ambiente online più
sicuro, trasparente e responsabile. È una legge vincolante per tutti gli Stati membri UE
che sostituisce la precedente Direttiva 2000/31/CE sul commercio elettronico; fa parte
del pacchetto per il mercato digitale, insieme al Digital Markets Act (DMA).

A chi si applica?
Il DSA si applica a tutti i servizi digitali che mettono in contatto utenti e contenuti online.
In particolare, riguarda gli attori della catena dei servizi digitali che operano nell’UE,
anche se hanno sede fuori dall’UE, a condizione che offrano servizi a utenti europei:

• Intermediari di rete: Forniscono accesso a internet o trasmettono dati (provider

come TIM, Vodafone, Fastweb).
• Servizi di hosting: Conservano dati o contenuti forniti dagli utenti (Dropbox,
Google Drive, servizi cloud).
• Piattaforme online: Mettono in contatto utenti per la diffusione di contenuti,
beni o servizi (Facebook, TikTok, Instagram, Amazon, Vinted).
• Motori di ricerca online: Permettono agli utenti di cercare informazioni su
internet. (Google, Bing, Yahoo).
• Very Large Online Platforms (VLOPs) e Very Large Online Search Engines
(VLOSEs): Sono le piattaforme e motori di ricerca con oltre 45 milioni di utenti
attivi mensili nell’UE. Hanno obblighi speciali per prevenire rischi sistemici
(disinformazione, abusi, ecc.).
Cosa regola?
Lo scopo principale del DSA è quello di garantire la legalità online. Si parte dal
presupposto che ciò che è legale offline è illegale anche online; l’illecito online può
quindi essere:

• Penale: ovvero un reato (violazione di una norma del Codice penale). Comporta
una sanzione penale: multa, arresto, reclusione.
• Civile: violazione di una norma del diritto privato (es. contratti, proprietà,
responsabilità), ovvero viola la legge e lede i diritti della persona. Comporta il
risarcimento del danno, che viene richiesto al giudice civile (es: caricamento di
fotografie senza consenso).
• Amministrativo: Violazione di una norma di tipo amministrativo (es. Codice
Stradale). Comporta una sanzione pecuniaria o interdittiva, ma non è un reato.

Dal punto di vista legale, la legalità viene garantita dalle forze pubbliche:

• Offline: dalle forze di polizia

• Su internet: dalla polizia postale.

Invece, dal punto di vista civile, spetta ad un privato verificare la legalità online.
Teoricamente, ci sono due possibilità con cui gestire gli illeciti civili:

1. La responsabilità di tutto ciò che avviene online potrebbe essere totalmente

della piattaforma (responsabilità oggettiva: paga la piattaforma invece del
responsabile).
2. Oppure la piattaforma potrebbe pagare solo gli illeciti che avrebbe potuto
impedire, ma che non ha impedito (responsabilità per colpa).

La resp. oggettiva alimenta il rischio di censura, poiché’ aumenta il livello di ciò che è
pubblicabile online, mentre con la resp. per colpa all’utente è garantita la libertà di
pensiero: posso pubblicare quello che mi pare, valutando il contenuto in seguito ed
eventualmente attuare le azioni necessarie. Alla fine, si è scelto il secondo sistema, ma
si deve mettere la piattaforma nelle condizioni di poter impedire l’illecito. Come può la
piattaforma controllare ogni utente che carica contenuti che potrebbero essere legali?
Il controllo viene fatto prima o dopo che viene caricato il contenuto? Ci sono vari modi:

• Filtraggio: potremmo valutare tramite algoritmi che impediscono di caricare

determinati contenuti. Ma per il principio di libertà di parola e di pensiero non è
possibile giuridicamente.
• Controlli generali di iniziativa della piattaforma: anche qui non è possibile
poiché verrebbe attribuito ad un privato il potere di “fare polizia” e censurare.
• Notice and action: Dalla segnalazione di utenti le piattaforme controllano i
contenuti e valutano se riaspettano la legge (questo va bene).
Notice and action
Le piattaforme hanno il potere e dovere di attivarsi solo qualora un contenuto venga
segnalato. È il sistema tramite cui chiunque (utente o ente) può segnalare contenuti
illegali su una piattaforma online (social, marketplace, forum). Può fare segnalazioni:

• Utente ordinare: Può segnalare contenuti che ritiene illegali o che violino
qualche diritto. Le piattaforme devono predisporre sistemi chiari, semplici e
accessibili per farlo.
• Segnalatori attendibili: sono organismi o enti specializzati che hanno una
competenza nel cercare e segnalare contenuti online illegale. Sono riconosciuti
ufficialmente da un’autorità amministrativa nazionale: in Italia, è AGCOM
(Autorità per le Garanzie nelle Comunicazioni). Le loro segnalazioni devono
essere valutate con preferenza rispetto a quelle date dagli utenti.

L’AGCOM, più in generale, è un coordinatore di servizi digitali, ovvero un organismo

pubblico e indipendente che deve attuare il sistema del digital services act. Ad
esempio, ha il dovere tenere il registro con l’elenco dei segnalatori attendibili.

Una volta ricevuta la segnalazione (notice), la piattaforma ha il dovere di:

1. Verificare il contenuto segnalato, ovvero che illecito esista e interpretando la

normativa che si ritiene violata. Di solito viene fatta tramite algoritmi
automatizzati, ma con obbligo di intervento umano, soprattutto se c’è un
reclamo o in casi complessi. Quindi il DSA ha una componente di
interpretazione (ermeneutica);
2. Decidere se rimuoverlo o meno (action), motivando tale decisione.
3. Informare le parti coinvolte (ad esempio chi ha pubblicato il contenuto rimosso
e chi ha effettuato la segnalazione).

Le misure che si possono prendere sono (non sono classificate in maniera tipica e
chiusa, sta al gestore della piattaforma decidere):

• Il post viene spostato in una zona meno visibile (più blanda).

• Il post viene eliminato.
• L’account viene sospeso per un certo periodo di tempo.
• Blocco dell’account (più severa), ovvero scioglimento del contratto.

Nel DSA il gestore della piattaforma può attivare le misure che ritiene necessarie per
limitare l’abuso da entrambi i lati:

• Troppe segnalazioni da parte di un utente.

• Continuare a pubblicare contenuti illegali nonostante le segnalazioni ricevute.

Infine, devono esserci sistemi di reclamo che garantiscono la possibilità di interventi di

esseri umani, oppure di esercitare il diritto di contestare (impugnazione).
Diritto d’autore
In materia di diritto d’autore abbiamo un sistema diverso specifico.

Il diritto d’autore è un diritto soggettivo (diritto privato) che protegge le opere

dell’ingegno di carattere creativo, come libri, film, musica, software, disegni, ecc. Esso
nasce automaticamente con la creazione dell'opera: non c’è, quindi, nessuna formalità
amministrativa da seguire per ottenerne il riconoscimento. Esso include due
componenti principali:

• Morale: riconosce l’autore come genitore dell’opera ed è inalienabile (non si può

vendere o cedere). Garantisce il diritto di decidere se e quando pubblicare
l’opera, di rivendicarne la paternità, di opporsi a qualsiasi deformazione o ogni
atto a danno della stessa (integrità dell’opera) e di ritirarla dal commercio.
• Patrimoniale: consente di sfruttare economicamente l’opera (esecuzione,
riproduzione, distribuzione, comunicazione al pubblico). I diritti patrimoniali
sono tra loro indipendenti: sono quindi esercitabili separatamente o
congiuntamente. Inoltre, possono avere ad oggetto l’opera nella sua interezza o
in ciascuna delle sue parti.

I diritti morali sono inalienabili, imprescrittibili e irrinunciabili, cioè, possono essere

esercitati indipendentemente dai diritti patrimoniali derivanti dalla creazione dell’opera
e anche nel caso in cui questi ultimi siano stati ceduti a terzi (Non si può pregiudicare il
rapporto che lega l’opera all’autore). Ad esempio, scrivo un libro su cui ho un diritto
d’autore; cedo il diritto patrimoniale a Netflix per creare il film nel rispetto però della
componente morale, di cui non posso rinunciare (se non voglio, Netflix non può
cambiare la storia perché; sono io che scelgo che tipo di prodotto fare).

A differenza dei diritti morali, i diritti patrimoniali sono rinunciabili, trasferibili a terzi e
hanno un limite temporale: durano, infatti, per tutta la vita dell’autore e fino a 70 anni
dopo la sua morte (in caso di opera con più autori, va presa a riferimento la scomparsa
dell’ultimo di essi). Trascorso tale periodo, l’opera cade in pubblico dominio ed è
utilizzabile in modo libero.

• In Italia: La Legge n. 633/1941, detta anche Legge sul diritto d'autore,

disciplina tutti gli aspetti del diritto d’autore.
• In Europa: La Direttiva Copyright (UE) 2019/790 rafforza il diritto d’autore nel
contesto digitale, attuata dall’ordinamento italiano aggiungendo delle norme
apposite nella legge 633. Si applica anche ai contenuti pubblicati su piattaforme
online come YouTube, Spotify, TikTok, ecc.

Secondo la direttiva, non è il singolo utente a dover ricevere il consenso per utilizzare
una determinata “opera” sulla piattaforma, ma e’ la piattaforma stessa (come Spotify,
YouTube, Instagram) che deve ottenere il consenso del titolare dei diritti (ad esempio,
l’artista o la casa discografica, editori, SIAE) attraverso una licenza, oppure rimuovere i
contenuti non autorizzati quando ricevono una segnalazione valida.

Senza licenza, l’uso delle opere è illecito, e le piattaforme possono essere

responsabili legalmente, a meno che non dimostri di aver compiuto i massimi sforzi
per aver ottenuto l’accordo. Con questo si libera della responsabilità quindi ne
risponderà chi ha caricato il contenuto.

Per prevenire violazioni, molte piattaforme usano algoritmi e tecnologie di

riconoscimento dei contenuti. Ad esempio, YouTube usa Content ID, che confronta i
video caricati con un database di opere protette. Se trova una corrispondenza, il titolare
dei diritti può monetizzare (far pagare pubblicità sul video), bloccare o tracciare il
contenuto.

Inoltre, per il titolare dell’opera esiste il principio all’equa remunerazione, cioè, il diritto
dell’autore ad avere una remunerazione adeguata e proporzionata per l’utilizzo delle
loro opere (diritto ad essere pagati). I contratti devono essere trasparenti e gli autori
devono ricevere informazioni sui ricavi generati dalle loro opere.

Disciplina giuridica dell’intelligenza artificiale

L’Intelligenza artificiale È un programma addestrato su numerosi database e “impara” a
comportarsi e ad interpretare la realtà. È un insieme di tecnologie basate e funzionanti
su algoritmi che hanno una capacità adattiva, imparano, si sviluppano. Si basa su set di
informazioni, provenienti anche dai social, dove si svolge un’attività comunicativa.

L’AI act europeo stabilisce quali sistemi di intelligenza artificiale possono essere
prodotti e venduti in Europa e introduce delle regole che servono a mitigare il rischio.
Ad esempio, i sistemi di classificazione delle persone non sono ammessi nella
normativa europea (art.5), ovvero, non possono essere venduti ed utilizzati.

Uno dei rischi è l’aumento della falsa comunicazione (diffusione di fake news, anche
tramite video) e quindi bisognerebbe fare una scrematura di tutte le informazioni che
l’IA riesce a raccogliere.

Artificial Intelligence Act

Per la disciplina giuridica dell’IA non c’è una regolamentazione passata su cui basarsi
perché è un problema nuovo, non abbiamo parametri nemmeno a livello mondiale. In
Europa nel 2024 è stato pubblicato li primo regolamento, l’AI Act 2024/1689, la prima
norma a livello mondiale sull’IA che cerca di mettere dele regole generali che, però,
dovranno essere riviste regolarmente poiché’ bisogna prima vedere se funzionano.
Viene regolata la circolazione e la vendita dell’AI all’interno dell’Europa, mentre la
responsabilità civile peri i danni causati dell’IA non viene trattata.

I rischi che porta l’IA sono diversi:

1. È invasiva per quanto riguarda i dati delle persone, va a recuperare dati che le
persone non darebbero.
2. Operando con meccanismi statistici potrebbe portare alla profilazione delle
persone (data dalle statistiche, interpretare male una persona, ovvero
interpretare una persona come facente parte di un modello astratto non
corrispondente con la persona stessa).
3. Può essere discriminatoria.
4. Può sbagliare (se succede in contesti pericolosi, come quello del pilota
automatico, può portare a danni non indifferenti)

Le domande che ci siamo posti sono: Come attenuiamo il rischio? Come evitiamo che
essi si realizzino o che generino danni potenzialmente meno gravi? Chi risponde dei
danni che potrebbe procurare l’IA? A quest’ultima ci siamo arenati, Non si riesce a
scegliere tra la responsabilità oggettiva o per colpa. Potrebbero pagare i danni coloro
che producono l’IA, solo se sbagliano a programmare? Non è troppo giusto perché l’IA
interagisce e impara, prende una certa autonomia rispetto al programmatore; quindi,
non si sa bene a chi dare la colpa per il danno che provoca. Per ora si utilizzano le
classiche regole di responsabilità’ civile, ma servono regole nuove.

Invece di disciplinare chi paga i danni, l’AI Act (approvato nel 2024) sceglie un’altra
strada che si basa sui rischi: creare un mercato dell’IA, regolando ex ante ciò che può o
non può essere immesso nel mercato europeo. Il principio base è: Più alto è il rischio
che un sistema di IA comporta per diritti e libertà fondamentali, più stringenti sono le
regole per poterlo vendere e usare.

C’è una lista nell’articolo 5 del regolamento che stabilisce quali sistemi di IA possono
essere prodotti e venduti in Europa e quali non possono, per quelli che possono essere
venduti ci sono delle regole.

• IA con rischi minimi o nulli: sono quelle che non hanno alcun impatto diretto
sui diritti fondamentali o sulla sicurezza delle persone, e che offrono ampi
margini di scelta e controllo agli utenti. Questi sistemi sono liberi da qualsiasi
obbligo normativo, al fine di incoraggiare l’innovazione e l’esperimentazione (es.
algoritmi per playlist musicali, suggerimenti sui social).
• IA a basso rischio: Sistemi che non pongono minacce significative ai diritti
fondamentali. Sono soggetti a requisiti di trasparenza, che consentono agli
utenti di essere consapevoli del fatto che interagiscono con un sistema di IA e di
comprenderne le caratteristiche e le limitazioni (es. chatbot informativi,
strumenti di automazione aziendale, deepfake, assistenti virtuali).
 • IA ad alto rischio: sono quelli che possono avere un impatto “sistemico”, ossia
significativo sui diritti fondamentali o sulla sicurezza delle persone. Include
applicazioni in settori come sanità, trasporti e giustizia. Questi sistemi devono
rispettare rigorosi requisiti di trasparenza, sicurezza e supervisione umana (usi
tipici: sanità, giustizia, educazioni, assunzioni, infrastrutture critiche).
• IA vietata: contraddicono i valori e i principi fondamentali dell’UE, come il
rispetto della dignità umana, della democrazia e dello stato di diritto.

Tra le pratiche vietate, che potrebbero mettere a rischio i diritti fondamentali, la

sicurezza pubblica e il principio di non discriminazione, ci sono:

• Manipolazione subliminale o comportamentale: sistemi che influenzano il

comportamento umano in modo subliminale o sfruttando vulnerabilità
specifiche per distorcere il comportamento di una persona.
• Valutazione sociale (social scoring): sistemi che classificano le persone in
base al loro comportamento, status socioeconomico o caratteristiche personali,
portando a trattamenti ingiusti o discriminatori.
• Identificazione biometrica remota in tempo reale in spazi pubblici, salvo
eccezioni specifiche per le forze dell'ordine.
• Raccolta indiscriminata di dati biometrici: sistemi che creano database
biometrici da internet senza il consenso degli interessati.
• Predizione del comportamento criminale: sistemi che prevedono la
probabilità che una persona commetta un reato basandosi su dati personali,
senza un legame diretto con un comportamento criminale specifico.
• Rilevamento delle emozioni sul luogo di lavoro o in ambito scolastico: può
portare a violazioni della privacy e a discriminazioni.

Queste tecniche sono vietate o limitate, perciò vengono ammesse in Europa solo le AI
che rispettano queste regole e che rispettano anche i requisiti di trasparenza, sicurezza
e supervisione umana.

Una volta che un sistema di IA è sul mercato, le autorità sono responsabili della
vigilanza del mercato, gli operatori garantiscono la sorveglianza e il monitoraggio umani
e i fornitori dispongono di un sistema di monitoraggio post-commercializzazione. I
fornitori e gli operatori segnaleranno anche incidenti gravi e malfunzionamenti.

Il regolamento prevede anche L’istituzione di un comitato europeo per l’IA, composto

da esperti indipendenti, che avrà il compito di assistere la Commissione europea e gli
Stati membri nell’implementazione e nell’aggiornamento dell’AI Act, nonché di
formulare raccomandazioni e pareri sull’evoluzione e le sfide dell’IA.