La circolazione dei dati

Titolarità, strumenti negoziali, diritti e tutele

Andrea Stazi, Alberto M. Gambino

• Publisher: Pacini Editore
• Year: 2020
• ISBN:
  9788833792286
• Topic: Business
• Subtopic: Diritto societario
• Index: Business

« L’avvento delle nuove tecnologie ha segnato una vera e propria rivoluzione antropologica, ma altresì sociale, culturale, politica, economica.
Come rispetto a ogni fenomeno “ disruptive ”, il rischio da evitare è quello di un’eterna rincorsa, da parte del diritto, di una tecnica quasi irraggiungibile per velocità e profondità dell’evoluzione.
La chiave per il governo dell’innovazione appare invece, da un lato, quella della duttilità e lungimiranza garantite dal principio di neutralità tecnologica, dall’altro, quella dell’approccio antropocentrico alla tecnica.
Su tali pilastri si fonda, ad esempio, il Regolamento europeo sulla protezione dei dati, cd. GDPR, che con la sua prevalenza dei principi sulle regole consente un adattamento continuo alla materia da regolare.
Tale approccio è condiviso dall’Unione Europea su temi importanti, tra cui l’intelligenza artificiale in primis, e risulta il fattore essenziale per garantire che il rapporto tra innovazione e privacy si declini in termini sinergici e non conflittuali.
Così, parafrasando il titolo di un noto libro di Stefano Rodotà, la vita è resa compatibile con la regola, ed il dialogo costante tra le due è il presupposto di un rapporto armonico tra persona, democrazia e digitale.
In tale scenario, in cui i dati risultano sempre più non soltanto un attributo della persona ma altresì, siano essi personali o non personali, atomi di un universo di relazioni sociali e commerciali, oggetto di circolazione e commercializzazione, questo volume offre un contributo prezioso per indagare e definire i profili giuridici relativi alla circolazion e dei dati.
I saggi qui raccolti, di autorevoli e giovani studiosi, forniscono letture di notevole interesse teorico e impatto pratico con riferimento ai principali profili della titolarità, degli strumenti negoziali, dei diritti e delle tutele rilevanti, su un tema che è ormai centrale nelle odierne dinamiche sociali e di mercato».
P. Stanzione

I

La libera circolazione dei dati.

Il diritto del commercio internazionale è la risposta adeguata?

Vincenzo Zeno-Zencovich

SOMMARIO: 1. Il problema - 2. Il quadro di riferimento del commercio internazionale. - 3. Una valutazione critica dell’approccio del commercio internazionale. - 4. Impraticabilità dei principi MFN, NT e TBT. - 5. Alcune soluzioni provvisorie - 6. Le sedi istituzionali.

1. Il problema

La libera circolazione dei dati [di seguito anche FFD – acronimo di “Free Flow of Data”] è una delle principali preoccupazioni nelle relazioni politiche ed economiche internazionali. Nell’ultimo decennio ci sono stati segni crescenti di “nazionalismo dei dati”¹ e di “balcanizzazione dei dati”².

La formalizzazione normativa di tale tendenza è ben rappresentata dall’articolo 3 del regolamento UE 679/2016, il Regolamento generale sulla protezione dei dati (di seguito anche “GDPR” o “Regolamento”)³ in base al quale

Ambito di applicazione territoriale

1. Il presente regolamento si applica al trattamento dei dati personali effettuato nell’ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell’Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell’Unione.
2. Il presente regolamento si applica al trattamento di dati personali di interessati che si trovano nell’Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell’Unione, quando le attività di trattamento riguardano:
   
   1. l’offerta di beni o la prestazione di servizi ai suddetti interessati nell’Unione, indipendentemente dall’obbligatorietà di un pagamento dell’interessato; oppure
   2. il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’Unione.
3. Il presente regolamento si applica al trattamento di dati personali da un titolare del trattamento che non è stabilito nell’Unione, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico.

L’estrema ampiezza dell’ambito di applicazione territoriale del Regolamento è giustificata dall’affermazione secondo cui “il trattamento dei dati personali dovrebbe essere al servizio dell’uomo” (Considerando n. 4) e che “I principi e le norme a tutela delle persone fisiche con riguardo al trattamento dei dati di carattere personale (“dati personali”) dovrebbero rispettarne i diritti e le libertà fondamentali, in particolare il diritto alla protezione dei dati personali” (Considerando n. 2)⁴.

Gli Stati Uniti hanno prontamente risposto a tale posizione -anche per contrastare i tentativi delle aziende statunitensi di collocare i propri dati al di fuori del territorio nazionale e della giurisdizione americana - attraverso il Cloud Act del 2018 che nei suoi considerando recita:

Il Congresso considera quanto segue:

(1) L’accesso tempestivo ai dati elettronici detenuti da parte dei fornitori di servizi di comunicazione è una componente essenziale degli sforzi del governo per proteggere la sicurezza pubblica e combattere i reati gravi, tra cui il terrorismo.

(2) Tali sforzi da parte del governo degli Stati Uniti sono ostacolati dall’incapacità di accedere ai dati memorizzati al di fuori degli Stati Uniti che sono conservati o sotto il controllo o il possesso di fornitori di servizi di comunicazione soggetti alla giurisdizione degli Stati Uniti.

(3) Inoltre, i governi stranieri cercano sempre più l’accesso ai dati elettronici detenuti dai fornitori di servizi di comunicazione negli Stati Uniti allo scopo di combattere i crimini più gravi.

(4) I fornitori di servizi di comunicazione si trovano ad interfacciarsi con obblighi legali potenzialmente contrastanti, come nel caso in cui un governo straniero ordini la produzione di dati elettronici che, al contrario, la legge degli Stati Uniti potrebbe vietare ai fornitori di divulgare.

(5) La legge straniera può, analogamente, creare obblighi legali contrastanti con il capitolo 121 del titolo 18, Codice degli Stati Uniti (comunemente noto come “Stored Communications Act”), il quale richiede la divulgazione di dati elettronici che la legge straniera vieta ai fornitori di servizi di comunicazione di divulgare.

(6) Gli accordi internazionali forniscono un meccanismo per risolvere questi potenziali obblighi giuridici contrastanti laddove gli Stati Uniti e il governo straniero competente condividano un impegno comune per lo stato di diritto e la protezione della privacy e delle libertà civili.

La prima e principale disposizione del “Cloud Act” – la § 2713 - stabilisce in modo inequivocabile:

Un fornitore di servizi di comunicazione elettronica o di servizi di elaborazione remota deve ottemperare agli obblighi del presente capitolo al fine di conservare, eseguire il backup o divulgare il contenuto di una comunicazione via cavo o elettronica, nonché ogni documento o altra informazione relativa a un cliente o abbonato in possesso, custodia o controllo di tale fornitore, indipendentemente dal fatto che tali comunicazioni, documenti o altre informazioni si trovino all’interno o all’esterno degli Stati Uniti.

Sebbene i preamboli della legge statunitense e le successive decisioni della Corte di giustizia dell’Unione europea (Google v. CNIL)⁵ dichiarino che l’obiettivo delle due disposizioni normative è quello di evitare conflitti tra le leggi, il risultato pratico è che una base di dati può essere soggetta contemporaneamente a giurisdizioni confliggenti. In ogni caso, il conflitto è profondamente radicato nelle diverse visioni dei principali attori delle relazioni internazionali (UE, USA, RPC) e nel ruolo che i flussi di dati assumono nelle rispettive strategie geopolitiche⁶. Negli ultimi anni vi sono state crescenti preoccupazioni sugli effetti, attuali e futuri, di tali conflitti e la dottrina ha comunemente indicato che il contesto giuridico e istituzionale più adeguato in cui risolverli sarebbe quello fornito dal diritto del commercio internazionale e dagli accordi commerciali e negoziali a livello globale o regionale. In questa direzione ci sono già diversi esempi che vengono frequentemente indicati come modelli.

In questo saggio proverò ad evidenziare che, sebbene alcune istituzioni mondiali o multilaterali (come l’OMC o l’OCSE) possano essere le sedi più proficue in cui elaborare soluzioni condivise ed efficaci, i principi di base del commercio internazionale che sono stati elaborati negli ultimi 75 anni non possono essere, in genere, applicati al FFD, che presenta alcune caratteristiche uniche le quali richiedono approcci e soluzioni differenti.

2. Il quadro di riferimento del commercio internazionale

Ove si cerchi di stabilire alcuni punti fermi nella libera circolazione dei dati, i principali documenti sono quelli redatti nel contesto dell’OMC e degli accordi regionali⁷.

Ciò pare, nel complesso, ragionevole: i dati sono essenziali per l’attività economica, sia per documentare l’attualità ed il passato delle relazioni contrattuali, sia per comprendere il futuro e provare a fare delle previsioni.

Tuttavia, in uno scenario di “Industria 4.0” i dati vengono raccolti per una molteplicità di altre ragioni, principalmente per monitorare costantemente i propri dispositivi, in secondo luogo per raccogliere i dati ad essi correlati. Ad ogni modo ci troviamo spesso di fronte a un costante e ininterrotto flusso di dati. La sua interruzione impedirebbe il funzionamento dell’analisi basata sull’input in tempo reale e sulla risposta immediata (ad es. i dati della scatola nera di un’automobile).

Pertanto, si possono facilmente individuare alcune lacune; la prima è costituita dal fatto che, generalmente, i flussi di dati non sono oggetto di una autonoma operazione commerciale internazionale (beni acquistati o venduti; servizi richiesti o forniti) ma sono aspetti ancillari a qualsiasi attività economica, nel senso che le imprese hanno sempre raccolto dati sui propri clienti e fornitori e sui contratti stipulati con essi.

Il secondo, consequenziale, problema è che i flussi di dati non sono facilmente classificabili come beni o servizi, e pertanto si è generata un’incertezza sul fatto che essi rientrino nel campo di applicazione del GATT o del GATS⁸. Si può sostenere che il primo trova applicazione quando il cuore dell’affare è costituito dal commercio di merci? Mentre il secondo, trova applicazione quando l’attività principale è costituita dalla fornitura di servizi? O si tratta di un caso di baratto internazionale (o countertrade)⁹?

Inoltre, in molti servizi online i dati (sia personali che metadati) costituiscono il corrispettivo per i servizi forniti. A questo flusso sono applicabili le disposizioni contenute nei trattati commerciali internazionali o nell’Accordo del FMI che regola le restrizioni sui pagamenti e le esportazioni di valuta?

Alcune disposizioni sono ancora più specifiche e sono generalmente citate dalla letteratura in materia:

1. l’Allegato del 1997 al protocollo OMC sull’accesso al mercato delle telecomunicazioni di base afferma (§ 5) che ai membri è concesso l’accesso e l’utilizzo delle reti pubbliche di telecomunicazione a condizioni non discriminatorie per la fornitura di vari servizi, tra cui “la trasmissione di dati, che tipicamente comporta la trasmissione in tempo reale di informazioni fornite dal cliente tra due o più punti”;
2. la stessa disposizione stabilisce (lettera c) che i fornitori di servizi possono utilizzare reti di telecomunicazione per lo spostamento di informazioni all’interno e attraverso le frontiere e per l’accesso alle informazioni contenute nelle banche dati;
3. tuttavia (lettera d), i membri possono adottare misure “al fine di garantire la sicurezza e la riservatezza dei messaggi” purché ciò non costituisca un ingiustificato mezzo di discriminazione o una “restrizione mascherata sullo scambio di servizi”¹⁰.

Le disposizioni dell’Allegato sulle Telecomunicazioni all’Accordo sugli Scambi di Servizi del WTO sono sostanzialmente ripetute nei capitoli 13 e 14 del “Comprehensive and Progressive Agreement for Trans-Pacific Partnership”, che ha sostituito il TPP originale dopo che gli Stati Uniti, nel 2017, hanno ritirato la propria firma. In particolare, l’articolo 14.13 dell’accordo, rubricato “Ubicazione delle Strutture Informatiche”, stabilisce che:

1. “Le Parti riconoscono che ciascuna Parte può stabilire i propri requisiti normativi relativi all’uso delle strutture informatiche, ivi inclusi i requisiti finalizzati a garantire la sicurezza e la riservatezza delle comunicazioni.

2. Nessuna Parte può richiedere ad una entità di utilizzare o individuare strutture informatiche nel territorio di tale Parte come condizione per condurre la propria attività in tale territorio”.

A livello regionale si può citare il “System APEC (Asia-Pacific Economic Cooperation) Cross-Border Privacy Rules (CBPR)”¹¹. Sebbene si tratti di linee guida non vincolanti, esse forniscono indicazioni utili su come bilanciare i diversi interessi, ovvero da un lato proteggere le informazioni personali da abusi e intrusioni indesiderate mentre, dall’altro lato, consentire alle organizzazioni globali di raccogliere, accedere, utilizzare ed elaborare i dati all’interno dei paesi membri. Il sistema si basa su quattro fasi: i. autovalutazione da parte dei soggetti impegnati nella circolazione transfrontaliera dei dati; ii. valutazione della adeguatezza da parte dell’APEC; iii. riconoscimento, l’accettazione e la catalogazione in un elenco di enti conformi; iv. procedure per l’enforcement e la risoluzione delle controversie.

Il “US, Mexico, Canada Trade Agreement” (USMCTA) del 2019, che punta a sostituire il NAFTA, stipulato tra gli stessi tre paesi, dedica il capitolo 19 al “Commercio Digitale”¹² e fa esplicito riferimento al Sistema APEC-CBPR, con alcune importanti specificazioni come, ad esempio, l’attribuzione della qualifica di “restrittive” a quelle misure basate su obiettivi politici che risultano non conformi qualora siano poste “a scapito dei fornitori di servizi di un’altra Parte” (art. 19.11 nt. 5). L’Accordo, all’articolo 19.12, riporta, sotto la medesima rubrica, la medesima disposizione presente nel “Comprehensive and Progressive Agreement”: “Nessuna Parte può richiedere ad una entità di utilizzare o costruire strutture informatiche nel territorio di tale Parte come condizione per condurre la propria attività in tale territorio”.

Un altro testo che può essere tenuto in considerazione è l’accordo economico e commerciale globale UE-Canada (CETA) che contiene numerose disposizioni relative alla circolazione transfrontaliera delle informazioni¹³.

3. Una valu...