Responsabilità del provider e delle piattaforme online: la guida aggiornata
Quando qualcuno carica un video piratato su YouTube, pubblica un commento diffamatorio su Facebook o condivide un’opera protetta su TikTok, chi è responsabile? Solo l’utente che ha caricato il contenuto — o anche la piattaforma che lo ospita?
La risposta non è mai stata semplice, e negli ultimi anni è cambiata in modo significativo. Questo articolo ricostruisce il quadro completo: le regole del 2003 ancora in vigore per i provider tecnici, l’evoluzione giurisprudenziale sulla distinzione tra hosting passivo e attivo, la sentenza della Corte di Giustizia UE sul caso Facebook, e il nuovo regime introdotto dal Digital Services Act.
Il sistema originario: D.Lgs. 70/2003 e la tripartizione degli ISP
Il punto di partenza è il D.Lgs. 9 aprile 2003, n. 70, che ha recepito la Direttiva europea sul commercio elettronico (2000/31/CE). La norma ha costruito un sistema di esonero dalla responsabilità per i provider basato su tre categorie di attività, ciascuna con un regime diverso.
Mere conduit — semplice trasporto (art. 14)
Il provider che si limita a trasmettere informazioni su una rete di comunicazione senza dare origine alla trasmissione, senza selezionare il destinatario e senza selezionare né modificare le informazioni — non è responsabile per i contenuti trasmessi. È il caso dell’operatore telefonico o dell’internet service provider che fornisce connettività: la sua attività è puramente tecnica, automatica e passiva.
La condizione è l’assoluta neutralità rispetto al contenuto. Un provider che gerarchizza i flussi di dati — concedendo banda maggiore ad alcuni servizi rispetto ad altri — perde questa neutralità e con essa l’esonero.
Caching — memorizzazione temporanea (art. 15)
Il provider che memorizza temporaneamente informazioni per rendere più efficiente la trasmissione verso altri destinatari non è responsabile a condizione che non modifichi le informazioni, rispetti le condizioni di accesso, aggiorni le copie cache e rimuova le informazioni quando vengano eliminate dalla fonte originale su ordine dell’autorità.
Hosting — memorizzazione su richiesta (art. 16)
Il provider che memorizza informazioni fornite da un destinatario del servizio non è responsabile a condizione che non sia a conoscenza dell’illiceità delle informazioni e, una volta venuto a conoscenza dell’illiceità, agisca immediatamente per rimuovere le informazioni o disabilitarne l’accesso.
Questo è il regime che riguarda YouTube, Facebook, i siti di file sharing, i forum, i marketplace online. Ed è qui che si concentra la giurisprudenza più rilevante.
Nessun obbligo generale di sorveglianza (art. 17)
Il D.Lgs. 70/2003 stabilisce che i provider non hanno un obbligo generale di sorvegliare le informazioni che trasmettono o memorizzano, né di ricercare attivamente fatti o circostanze che indichino la presenza di attività illecite. Questo principio — che riflette la scelta di politica legislativa di non caricare i provider di oneri di controllo preventivo che avrebbero soffocato lo sviluppo di internet — rimane formalmente in vigore ma ha subito significative erosioni nella giurisprudenza.
L’evoluzione: hosting passivo vs. hosting attivo
La distinzione più rilevante sviluppata dalla giurisprudenza — europea e italiana — è quella tra hosting provider passivo e hosting provider attivo.
L’hosting provider passivo si limita a fornire spazio di memorizzazione in modo neutro, automatico e tecnico, senza alcuna elaborazione dei contenuti. Rientra nell’esonero dell’art. 16 D.Lgs. 70/2003 — ed è responsabile solo se, dopo aver ricevuto la notifica dell’illiceità, non rimuove il contenuto.
L’hosting provider attivo non si limita alla memorizzazione tecnica, ma svolge un ruolo che gli conferisce conoscenza o controllo sui contenuti: organizza i contenuti per categorie, li promuove, li monetizza tramite sistemi pubblicitari targettizzati, dispone di team editoriali che selezionano i contenuti in evidenza. In questo caso perde la qualifica di hosting provider neutro e la sua responsabilità ricade nelle regole ordinarie della responsabilità civile.
Il Tribunale di Torino, nella sentenza del 7 aprile 2017 (caso YouTube/Delta TV Programs), ha applicato questo principio condannando Google e YouTube al risarcimento di 250.000 euro per violazione dei diritti di sfruttamento economico su alcune telenovelas caricate sulla piattaforma. Il Tribunale ha qualificato YouTube come hosting provider, ma ha ritenuto che, una volta ricevuta la notifica dell’illiceità tramite la citazione in giudizio, le convenute avessero l’obbligo di rimuovere i contenuti e impedirne il futuro caricamento — obbligo che non avevano adempiuto.
La Cassazione (ordinanza n. 39763 del 13 dicembre 2021) ha poi consolidato i principi sul punto, affermando che la violazione di un diritto di esclusiva costituisce danno in re ipsa — senza che il danneggiato debba fornire prova specifica del danno, essendo sufficiente la prova della violazione stessa — e che la soglia minima di risarcimento è il “prezzo del consenso” che sarebbe stato pagato per un uso autorizzato.
→ Leggi anche: Il caso YouTube/Delta TV: il service provider risponde del caricamento di opere audiovisive
Il caso Facebook e l’obbligo di rimozione dei contenuti equivalenti
Un ulteriore tassello fondamentale viene dalla Corte di Giustizia dell’Unione Europea, con la sentenza del 3 ottobre 2019 nel caso Eva Glawischnig-Piesczek vs. Facebook Ireland (C-18/18).
La vicenda riguardava una politica austriaca che aveva ottenuto da un giudice nazionale l’ordine di rimozione di un commento diffamatorio pubblicato su Facebook. La questione posta alla CGUE era: Facebook deve limitarsi a rimuovere esattamente quel commento, o deve anche ricercare e rimuovere i commenti identici o equivalenti — anche al di fuori del territorio austriaco?
La Corte ha risposto affermativamente su entrambi i punti. Un giudice nazionale può ordinare a un hosting provider di rimuovere le informazioni dichiarate illecite, di bloccare l’accesso a tali informazioni e di rimuovere le informazioni equivalenti — purché la ricerca delle informazioni equivalenti sia limitata ai contenuti con un identico significato lesivo, senza richiedere una sorveglianza generalizzata.
Cosa cambia in pratica. Prima di questa sentenza, le piattaforme rimuovevano solo il contenuto specifico segnalato. Dopo, un’ingiunzione giudiziaria può imporre la rimozione proattiva di tutti i contenuti equivalenti a quello dichiarato illecito — anche su scala globale, se il giudice lo ordina. Questo trasforma l’obbligo di rimozione da reattivo a proattivo, almeno nell’ambito del contenuto dichiarato illecito.
→ Leggi anche: La responsabilità di Facebook per i commenti denigratori
Il nuovo regime: il Digital Services Act
Il quadro normativo è stato profondamente ridisegnato dal Regolamento UE 2022/2065 — il Digital Services Act (DSA) — applicabile in tutti i paesi UE dal 17 febbraio 2024.
Il DSA non ha eliminato il sistema del D.Lgs. 70/2003 per i provider tecnici tradizionali, ma ha introdotto un regime specifico e molto più stringente per le piattaforme online — i servizi che memorizzano e diffondono contenuti al pubblico — e soprattutto per le piattaforme molto grandi (Very Large Online Platforms, VLOP) con più di 45 milioni di utenti mensili nell’UE: Facebook, Instagram, YouTube, TikTok, X (ex Twitter), Amazon Marketplace e altri.
Le novità principali per le piattaforme
Meccanismi di segnalazione accessibili. Le piattaforme devono predisporre sistemi di segnalazione dei contenuti illeciti chiari, accessibili e facili da usare. Le segnalazioni devono essere trattate con tempestività.
Obbligo di motivazione. Quando una piattaforma rimuove un contenuto, sospende un account o applica una restrizione, deve fornire una motivazione chiara all’utente interessato e informarlo dei mezzi di ricorso disponibili.
Sistema di reclami interno. Le piattaforme devono disporre di un meccanismo interno di reclamo che permetta agli utenti di contestare le decisioni di moderazione.
Risoluzione extragiudiziale delle controversie. Gli utenti possono rivolgersi a organismi di risoluzione extragiudiziale certificati dalle autorità nazionali.
Trasparenza algoritmica. Le VLOP devono fornire informazioni sui sistemi di raccomandazione dei contenuti e offrire almeno un’opzione non basata sulla profilazione.
Valutazione del rischio sistemico. Le VLOP devono condurre valutazioni annuali dei rischi sistemici — inclusi i rischi per la libertà di espressione, per i processi elettorali e per la salute pubblica — e adottare misure di mitigazione.
Coordinatore dei Servizi Digitali. In Italia, l’Autorità Garante delle Comunicazioni (AGCOM) è designata come Coordinatore dei Servizi Digitali con poteri di vigilanza e sanzione.
Cosa non cambia
Il DSA non introduce un obbligo generale di sorveglianza preventiva dei contenuti — principio che rimane fermo. Le piattaforme non sono obbligate a controllare tutti i contenuti prima della pubblicazione. Rimangono responsabili per i contenuti di cui siano venute a conoscenza e che non abbiano rimosso con la dovuta diligenza.
Come agire se il tuo contenuto viene usato illegalmente su una piattaforma
Diffida diretta all’utente. Il primo passo è sempre una comunicazione formale a chi ha caricato il contenuto, chiedendone la rimozione.
Segnalazione alla piattaforma. Tutte le principali piattaforme hanno sistemi di segnalazione delle violazioni di copyright (takedown DMCA o equivalente). La segnalazione porta alla rimozione del contenuto in tempi rapidi — ma richiede che la piattaforma verifichi la fondatezza della segnalazione prima di agire.
Procedura AGCOM. Per violazioni sistematiche online — siti pirata, piattaforme che diffondono contenuti illeciti in modo organizzato — l’AGCOM ha competenza per ordinare la rimozione di contenuti o il blocco di siti interi. La procedura è disciplinata dal Regolamento AGCOM (Delibera 490/18/CONS e successive modifiche).
Ingiunzione giudiziaria. Per la rimozione di contenuti equivalenti a quello dichiarato illecito — come stabilito dalla CGUE nel caso Facebook — è necessaria un’ingiunzione del giudice nazionale. È lo strumento più potente ma anche quello che richiede un procedimento giudiziario.
Azione risarcitoria. Se la violazione ha causato un danno economico documentabile, l’azione civile permette di ottenere il risarcimento. Come stabilito dalla Cassazione 2021, la violazione di un diritto di esclusiva costituisce danno in re ipsa — la prova della violazione è sufficiente per il risarcimento minimo, senza dover dimostrare il danno specifico.
→ Leggi anche: Diritto d’autore su internet — come difenderti → Leggi anche: Come tutelare il diritto d’autore — strumenti concreti
Il provider non è un editore — ma non è nemmeno immune
Il sistema costruito dal D.Lgs. 70/2003 e ora integrato dal DSA riflette una scelta di fondo: i provider non sono editori e non possono essere trattati come tali. Non hanno l’obbligo di controllare preventivamente i contenuti degli utenti e non rispondono automaticamente per ciò che viene pubblicato sulla loro infrastruttura.
Ma non sono nemmeno immune: rispondono quando vengono a conoscenza dell’illiceità e non agiscono, quando svolgono un ruolo attivo sui contenuti che li rende qualcosa di più di un semplice contenitore neutro, e — per le piattaforme grandi — quando non rispettano gli obblighi procedurali e di trasparenza imposti dal DSA.
La linea di confine tra neutralità e attività, tra esonero e responsabilità, è il terreno su cui si gioca la maggior parte del contenzioso in questo settore.
Hai trovato contenuti illeciti o che violano i tuoi diritti su una piattaforma online? O sei una piattaforma che necessita di verificare la propria conformità al DSA? Prenota una consulenza o scrivici direttamente.
Articoli correlati:
- Il caso YouTube/Delta TV: responsabilità del service provider
- La responsabilità di Facebook per i commenti denigratori
- Diritto d’autore su internet — come difenderti
- Come tutelare il diritto d’autore
- Violazione copyright — come accertarla e cosa fare
Lo Studio Legale Dandi fornisce assistenza legale in Diritto d'autore. Dai un'occhiata ai nostri servizi oppure contattaci!
