Il gestore di un sito Internet puo’ avere un interesse legittimo a conservare determinati dati personali dei visitatori per difendersi dagli attacchi cibernetici.
Lo ha stabilito oggi la Corte di Giustizia Ue sottolineando che l’indirizzo di protocollo Internet dinamico di un visitatore costituisce, per il gestore del sito, un dato personale, se lo stesso gestore disponga di mezzi giuridici che gli consentono di far identificare il visitatore interessato grazie alle informazioni aggiuntive del visitatore di cui il fornitore di accesso a Internet dispone.
La Corte federale di giustizia tedesca si e’ rivolta alla Corte Ue a proposito di un caso di un cittadino che si era opposto alla registrazione e alla conservazione dei suoi indirizzi di protocollo Internet da parte dei siti dei servizi federali tedeschi da lui consultati.
Tali servizi registrano e conservano, oltre alla data e all’ora della consultazione, gli indirizzi Ip dei visitatori al fine di difendersi dagli attacchi cibernetici e di rendere possibili le azioni penali.
Il Bundesgerichtshof (Corte federale di giustizia tedesca) si e’ rivolto alla Corte di giustizia per sapere se gli indirizzi Ip dinamici costituiscano anch’essi, per il gestore del sito Internet, un dato personale, e godano quindi della tutela prevista per simili dati. Un indirizzo Ip dinamico e’ un indirizzo Ip che cambia a ogni nuova connessione a Internet.
A differenza degli indirizzi Ip statici, gli indirizzi non consentono di associare, attraverso file accessibili al pubblico, un certo computer al collegamento fisico alla rete utilizzato dal fornitore di accesso a Internet.
Di conseguenza, solo il fornitore di accesso a Internet dell’utilizzatore originario dispone delle informazioni aggiuntive necessarie per identificarlo.
Con la sentenza di oggi la Corte indica che un indirizzo Ip dinamico registrato da un “fornitore di servizi di media online” (ossia dal gestore di un sito Internet, nel caso di specie i servizi federali tedeschi) durante la consultazione del suo sito Internet accessibile al pubblico costituisce, nei confronti del gestore, un dato personale qualora esso disponga di mezzi giuridici che gli consentano di far identificare il visitatore grazie alle informazioni aggiuntive di cui il fornitore di accesso a Internet di quest’ultimo dispone.
Apparentemente, esistono in Germania strumenti giuridici che consentono al fornitore di servizi di media online di rivolgersi, in particolare in caso di attacchi cibernetici, all’autorita’ competente affinche’ questa assuma le iniziative necessarie per ottenere tali informazioni dal fornitore di accesso a Internet e per avviare successivamente procedimenti penali.
Secondo il diritto dell’Unione, il trattamento di dati personali e’ lecito, tra l’altro, se necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del terzo o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le liberta’ fondamentali della persona interessata.
La normativa tedesca, come interpretata dalla dottrina maggioritaria, riduce la portata di tale principio, escludendo che l’obiettivo di garantire il funzionamento generale del medium online possa essere bilanciato con l’interesse o i diritti e le liberta’ fondamentali dei visitatori.
In tale contesto, la Corte sottolinea che i servizi federali tedeschi che forniscono servizi di media online potrebbero avere un interesse legittimo a garantire, al di la’ di ciascuna effettiva fruizione dei loro siti Internet accessibili al pubblico, la continuita’ del funzionamento dei loro siti.
