Telegram e Francia: chiariamo i punti giuridici hiave

Lasciando da parte ogni dietrologia politica, attenendoci strettamente al piano giuridico e per quanto se ne sa pubblicamente finora:

innanzitutto le contestazioni fatte a Durov in quanto CEO di Telegram (e peraltro, per ora, non indagato direttamente) sono basate sul diritto penale francese, per eventuale correità nell’agevolare la diffusione di materiale rilevante penalmente; la parte più peculiare delle contestazioni è quella dei mancati adempimenti dovuti in Francia, in base alla normativa locale (qui in Italia queste norme non sussistono), per l’uso di crittografia senza aver fatto le necessarie notifiche e dichiarazioni all’AINSSI, l’agenzia francese nazionale per la sicurezza, la quale esamina e approva le richieste di utilizzo di tali mezzi per il proprio territorio, a pena anche di conseguenze penali in certi casi;

Come affermato anche dalla Commissione Europea, il DSA nulla c’entra – almeno per ora – in queste contestazioni, o meglio è il DSA stesso a porsi come strumento di armonizzazione europea ma che lascia intatte le prerogative e normative nazionali sugli illeciti (specie penali, che restano, come la sicurezza nazionale, alvei di stretta competenza locale); l’unico vero punto di contatto con la vicenda è che la mancata collaborazione con le autorità sapendo degli illeciti, così come accade anche nel DSA, comporta il venir meno dello scudo normativo e il nascere di una (co)responsabilità assieme agli autori primari di questi illeciti (chi ha diffuso i contenuti diventa “complice” di chi diffonde tecnicamente gli stessi);

il DSA è poi norma a carattere prevalentemente amministrativo / civilistico (si pensi alle sanzioni amministrative ivi previste); sono da indagare – specie in un caso epocale come questo – gli esatti risvolti di interplay col diritto penale e in quale misura, come possa il DSA influenzare gli ambiti di responsabilità penale; testualmente, solo l’art. 18 DSA parla con cognizione di argomenti penali, ma riguarda solo gli obblighi di notifica di sospetti di reati di una certa gravità, per cui il provider (Telegram) deve prontamente informare le autorità; il resto del DSA, nei considerando, ribadisce più volte una permanenza tal quale del diritto penale e processuale penale di ogni Stato membro;

infine, per pura completezza, proviamo comunque a ipotizzare Telegram nelle maglie del DSA: potrebbe dirsi un provider intermediario di servizi della società dell’informazione, specie di hosting e comunicazione – ma non è una “piattaforma di grandi dimensioni” (dette in acronimo inglese “VLOP”) identificata dalla Commissione UE come soggetta a più gravi adempimenti; vale la pena notare che per DSA i servizi di messaggistica privata non rientrerebbero nell’ambito di applicazione del DSA poiché sono utilizzati per la comunicazione interpersonale tra un numero limitato di persone stabilito dal mittente della comunicazione – tuttavia, gli obblighi del DSA possono applicarsi a servizi che consentano la messa a disposizione di informazioni a un numero potenzialmente illimitato di destinatari, non stabilito dal mittente della comunicazione, come ad esempio attraverso gruppi pubblici o canali aperti;

Telegram sarebbe comunque soggetta, per fruire dello scudo da responsabilità per i contenuti immessi, o alla mancata conoscenza dell’illecito oppure ad azione appropriata quando ne abbia notizia oppure ancora all’ottemperare a ordini delle autorità che abbia ricevuto in proposito; Telegram risulterebbe manchevole sotto questo profilo, viste le accuse;

Visto il controverso tema della crittografia, vale la pena menzionare il considerando 20 del DSA che recita proprio che qualora un provider deliberatamente collabori con terzi al fine di commettere attività illegali, i servizi di cifratura non dovrebbero essere considerati come forniti in modo “neutro” e il prestatore non dovrebbe pertanto poter beneficiare delle esenzioni dalla responsabilità del DSA; precisa però che il solo fatto che un servizio offra trasmissioni cifrate o qualsiasi altro sistema che renda impossibile l’identificazione dell’utente non dovrebbe di per sé essere considerato come un’agevolazione di attività illegali. Quanto tutto ciò potrà essere rilevante nel caso Telegram sarà tutto da vedere, ammesso che parta davvero un procedimento formale sul fronte DSA.

Andrea Michinelli, Avvocato, FIP (IAPP), ISO/IEC 27001, Of counsel 42 Law Firm

Sotto scacco anche la crittografia e la privacy

Dalle quanto emerge nei dodici capi di imputazione, “è presente nell’ordinamento francese una normativa che prevede un’autorizzazione ministeriale per l’uso di crittografia in caso di usi diversi da quelli del controllo di autenticazione e integrità (e anche sulla base di questa specifica normativa si sarebbe fondata l’accusa a Durov)”, dice l’avvocato Andrea Lisi. “In poche parole, se la crittografia serve a criptare messaggi, allora essa va autorizzata per il governo francese”.

“Peccato che tale normativa francese finirebbe per violare palesemente il principio generale di assenza di autorizzazione preventiva per chi sviluppa servizi della società dell’informazione previsto dall’articolo 4 della direttiva 2000/31/CE”.

Un grosso problema, per la privacy e per tutte le piattaforme, anche per Agostino Ghiglia, componente del Garante Privacy.

Ed è in generale un’altra conferma di un contrasto insito tra l’attuale normativa europea. Divisa, sempre in potenziale crisi, tra regole comuni e prerogative nazionali (soprattutto in ambito di sicurezza).

Il caso Durov ha il duplice ruolo di rivelare questo contrasto e di metterlo alla prova, tenendo ulteriormente una corda già molto tesa nel rapporto tra regole comuni (utili alla crescita dell’UE) e nazionali.

Redazione