Piracy Shield: il TAR conferma tutto, anche per i fornitori esteri

Cosa ha deciso il tribunale

Il 17 luglio di quest'anno il Tribunale Amministrativo Regionale del Lazio ha depositato due sentenze dal dispositivo identico, con cui ha respinto integralmente i ricorsi presentati da Cloudflare Inc. E dalla sua rappresentante europea, Cloudflare Portugal, contro il sistema Piracy Shield che avevo già raccontato in un articolo precedente. Nel mirino c'erano due provvedimenti: l'ordine di inibizione adottato da AGCOM in base alla legge antipirateria, e la sanzione da 14.247.698,56 euro irrogata per non aver bloccato circa quindicimila risorse di rete usate per diffondere illecitamente eventi sportivi in diretta.

Sedici motivi di ricorso complessivi, cinque contro l'ordine e undici contro la sanzione. Nessuno ha trovato accoglimento.

Il criterio degli effetti

La parte più interessante della sentenza, dal mio punto di vista, non riguarda l'importo della multa ma il ragionamento con cui il tribunale ha stabilito chi può essere raggiunto da un ordine di blocco italiano. Cloudflare aveva costruito la propria difesa su un punto preciso: avendo designato come proprio rappresentante nell'Unione Cloudflare Portugal, sosteneva che la competenza a intervenire spettasse all'autorità portoghese, non ad AGCOM, in base al Digital Services Act.

Il tribunale ha respinto questa lettura distinguendo due piani che, a suo avviso, Cloudflare aveva sovrapposto indebitamente: il potere di ordinare la rimozione di contenuti illeciti da un lato, e la vigilanza sugli obblighi procedurali che il regolamento europeo impone alle piattaforme dall'altro. Il Digital Services Act, secondo il collegio, disciplina solo il secondo aspetto, non il primo. Il potere di AGCOM di ordinare blocchi trova invece fondamento esclusivamente nella legge antipirateria italiana, che lo attribuisce nei confronti dei prestatori coinvolti "ovunque residenti e ovunque localizzati".

Per giustificare questa estensione territoriale, il tribunale ha richiamato un principio già affermato dalla Corte di giustizia europea in materia di violazioni transfrontaliere del diritto d'autore: la sovranità amministrativa di uno Stato può attivarsi non solo dove un'attività si svolge, ma anche dove produce il proprio effetto lesivo. Poiché il servizio DNS di Cloudflare è accessibile dagli utenti italiani e consente loro di raggiungere contenuti protetti, esiste secondo il collegio un collegamento sufficiente con l'ordinamento italiano, a prescindere da dove la società abbia sede legale.

Un dettaglio tecnico che trovo rilevante: il tribunale ha precisato che l'ordine impone un obbligo di risultato, cioè rendere i contenuti non fruibili agli utenti italiani, senza imporre una specifica modalità tecnica di esecuzione. Questo significa che Cloudflare può ottemperare limitando il blocco su base geografica ai soli utenti che si collegano dal territorio italiano, senza dover intervenire sul servizio a livello globale. Una soluzione che il tribunale ha giudicato proporzionata proprio perché circoscritta.

Le ingiunzioni dinamiche e la mancata collaborazione

Un secondo argomento difensivo di Cloudflare riguardava il metodo: le segnalazioni successive di nuovi domini e indirizzi IP legati agli stessi contenuti, quelle che tecnicamente si chiamano ingiunzioni dinamiche, arrivavano secondo la società senza un contraddittorio preventivo adeguato. Il tribunale ha risposto che queste segnalazioni non sono nuovi provvedimenti autonomi, ma semplice esecuzione tecnica dell'ordine cautelare originario, e che quindi non richiedono ogni volta una nuova comunicazione di avvio del procedimento.

Il collegio ha inoltre attribuito un peso specifico al comportamento tenuto da Cloudflare nel tempo: la società ha rifiutato più volte l'accreditamento alla piattaforma nonostante i solleciti di AGCOM, ha disertato il tavolo tecnico istituito dalla legge antipirateria, non ha attivato sistemi di whitelist preventiva e non ha mai presentato il reclamo amministrativo previsto dalla norma, che sarebbe stato lo strumento per ottenere un contraddittorio pieno. Una condotta che, secondo il tribunale, indebolisce sensibilmente la lamentela sulla violazione delle garanzie procedurali.

Il dato che non regge più (aggiornamento)

C'è un punto che riguarda direttamente qualcosa che avevo scritto in precedenza, ed è corretto segnalarlo con la stessa cura con cui segnalo i fatti nuovi. Nel raccontare i rischi di overblocking di Piracy Shield avevo citato uno studio dell'Università di Twente, prodotto anche da Cloudflare nel corso del contenzioso, come prova di blocchi prolungati su contenuti legittimi. Il tribunale ha esaminato quello studio nel merito e lo ha giudicato inattendibile ai fini probatori: gli stessi autori lo definiscono un'analisi preliminare, condotta non sulla lista reale degli indirizzi bloccati da AGCOM, che non è pubblica, ma su un elenco reperito anonimamente su una piattaforma di condivisione di codice, accompagnato dall'avvertenza esplicita che si trattava di dati generati casualmente e non reali.

Va detto con altrettanta onestà che questo non significa che il rischio strutturale di overblocking sia inesistente: il problema tecnico di fondo, cioè che più siti condividono lo stesso indirizzo IP, resta reale, e lo stesso studio commissionato dal Parlamento europeo di cui ho scritto in un altro articolo lo riconosce citando dati diversi, quelli sul blocco LaLiga in Spagna. Significa però che quel singolo studio non era la prova solida che sembrava, e che vale la pena essere più cauti nel citare dati che nessuno ha potuto verificare sulla lista reale dei blocchi, non pubblica per definizione.

Il tribunale ha invece valorizzato il dato fornito da AGCOM stessa, validato dall'Agenzia per la Cybersicurezza Nazionale: oltre centodiciannovemila richieste di blocco elaborate, con un margine di errore dichiarato dello 0,0059 per cento, e nessun reclamo formale sulle circa quindicimila risorse oggetto specifico degli ordini contestati da Cloudflare. Una cifra che, se confermata nel tempo, ridimensiona la portata degli episodi di overblocking più clamorosi finiti sui giornali.

Perché riguarda più di Cloudflare

Il tribunale ha anche respinto l'argomento sul calcolo della sanzione, ritenendo legittimo commisurarla al fatturato mondiale della società, superiore al miliardo e mezzo di dollari, e non solo al fatturato realizzato in Italia. Una scelta che il collegio giustifica richiamando la stessa logica sanzionatoria già adottata nel regolamento generale sulla protezione dei dati e nello stesso Digital Services Act.

Ma il punto che, secondo me, va oltre il caso specifico è un altro. Le sentenze non sono ancora state impugnate, e potrebbero cambiare in appello. Per la prima volta, però, un giudice amministrativo italiano ha esaminato nel merito, e confermato, l'intera architettura di Piracy Shield, incluso il principio secondo cui l'ambito soggettivo di un ordine di blocco non trova un limite nella sede legale del prestatore, ma nel luogo dove si producono gli effetti della condotta illecita.

Questo principio non riguarda solo Cloudflare. Riguarda, in linea teorica, qualunque fornitore straniero di infrastruttura di rete i cui servizi siano raggiungibili da utenti italiani: altri resolver DNS pubblici, altre content delivery network, e secondo quanto proposto a livello europeo anche i fornitori di servizi VPN di cui ho già parlato a proposito di un fronte normativo diverso ma con la stessa logica di fondo. È rilevante che questa sentenza arrivi proprio mentre il Parlamento europeo valuta di trasformare l'intero impianto italiano in un regolamento continentale: se il modello regge in tribunale anche nella sua versione più estesa, quella che raggiunge soggetti esteri senza stabilimento in Italia, l'argomento a favore di esportarlo diventa più forte, indipendentemente da come si valuti nel merito la scelta di fondo.

Chi si occupa di diritto informatico lo sa: la giurisdizione su internet è da sempre uno dei nodi più complicati da sciogliere, perché la rete non ha confini ma gli Stati sì. Questa sentenza prova a sciogliere quel nodo dicendo che conta l'effetto, non la sede. È un principio giuridicamente solido e coerente con la giurisprudenza europea richiamata dal tribunale. Resta però, a mio avviso, un problema di fondo che nessuna sentenza può risolvere da sola: più aumenta il numero di soggetti raggiungibili da un ordine di blocco emesso in poche ore e senza contraddittorio preventivo, più diventa importante che gli strumenti di verifica dell'errore siano rapidi quanto il blocco stesso. Su questo punto la sentenza dice poco, e forse è la domanda giusta per il prossimo capitolo di questa storia.