Accesso internet Strutture Ricettive

Molte strutture ricettive offrono ancora oggi una rete WiFi “aperta”, senza password né captive portal, semplicemente perché è comoda per l’ospite e per chi la deve gestire. La domanda che ogni albergatore, gestore di B&B o titolare di un locale con WiFi per i clienti dovrebbe porsi è semplice: se un ospite usa quella rete per scaricare materiale illecito, diffamare qualcuno o commettere un reato informatico, chi ne risponde?

La risposta richiede di guardare indietro di vent’anni, a una norma che ha segnato profondamente — e per certi versi ancora condiziona nell’immaginario comune — il modo in cui in Italia si pensa alla responsabilità di chi fornisce accesso a Internet: il cosiddetto Decreto Pisanu.

Le origini: il Decreto Pisanu del 2005

Dopo gli attentati di Madrid (2004) e Londra (2005), il governo italiano approvò il D.L. 27 luglio 2005, n. 144, convertito con modificazioni dalla L. 31 luglio 2005, n. 155, recante misure urgenti per il contrasto del terrorismo internazionale. Il provvedimento, noto come Decreto Pisanu dal nome dell’allora Ministro dell’Interno Giuseppe Pisanu, conteneva all’art. 7 (commi 1, 4 e 5) un pacchetto di obblighi specifici per chi offriva punti di accesso pubblico a Internet, inclusi gli hotel e i pubblici esercizi:

• licenza del Questore per l’apertura di un punto di accesso pubblico a Internet;
• identificazione del cliente tramite documento d’identità prima di consentire la connessione;
• registrazione e conservazione dei dati di traffico (chi si era collegato, quando, con quale dispositivo);
• adozione di misure tecniche per impedire l’accesso a soggetti non identificati.

Per un decennio questo pacchetto normativo — pensato per finalità di sicurezza pubblica e prevenzione antiterrorismo — è stato il motivo per cui in Italia il WiFi libero, a differenza di molti altri paesi europei, restava un’eccezione: alberghi, bar e locali preferivano non offrire affatto la connessione, oppure la offrivano con complesse procedure di identificazione, proprio per non incorrere in responsabilità o sanzioni legate alla mancata identificazione degli utenti.

La svolta: l’abrogazione del 2011

Il nucleo delle restrizioni, l’articolo 7 commi 4 e 5 del Decreto Pisanu, è stato abrogato da una disposizione del decreto “milleproroghe” di fine 2010, il D.L. 29 dicembre 2010, n. 225, convertito dalla L. 26 febbraio 2011, n. 10. Il ministro dell’Interno dell’epoca, Roberto Maroni, diede così seguito all’impegno preso mesi prima di superare gli obblighi introdotti dal decreto antiterrorismo, che erano stati oggetto di critiche trasversali perché considerati un freno allo sviluppo dei servizi WiFi nel Paese senza un reale beneficio in termini di sicurezza.

Da allora, chi gestisce una rete WiFi aperta al pubblico:

• non deve più identificare gli utenti che si collegano;
• non deve più registrare il traffico generato;
• non deve più chiedere alcuna autorizzazione alla Questura, salvo il caso — residuale e comunque venuto meno anch’esso — degli “internet point” veri e propri, per i quali era sopravvissuto fino al 31 dicembre 2011 solo l’obbligo di licenza.

Il quadro è stato ulteriormente confermato e consolidato dal D.L. 21 giugno 2013, n. 69 (il cosiddetto “Decreto del Fare”), che ha eliminato ogni residuo dubbio interpretativo sulla liberalizzazione. Oggi, quindi, un albergo può legittimamente offrire WiFi gratuito e completamente aperto, senza password, senza registrazione dell’ospite e senza alcuna autorizzazione preventiva.

Cosa diceva (e dice) la giurisprudenza

Anche quando l’obbligo di identificazione era ancora in vigore, la Cassazione aveva già chiarito che il gestore di un punto di accesso pubblico non poteva essere ritenuto responsabile in via omissiva per ciò che l’utente faceva online. Nella sentenza n. 6046/2008, la Corte aveva osservato che il titolare di un Internet Point non solo non è tenuto a conoscere il contenuto della navigazione dei propri utenti, ma che intercettarla costituirebbe reato ai sensi dell’art. 617-quater del Codice penale. L’obbligo di identificazione, allora vigente, serviva — secondo i giudici — solo a fini di prova successiva, non a impedire il reato: un principio che, caduto l’obbligo stesso, rende ancora più solida la posizione del gestore.

A livello europeo, il punto di riferimento resta la sentenza della Corte di Giustizia UE del 15 settembre 2016, causa C-484/14 (Tobias McFadden / Sony Music Entertainment Germany), relativa a un negozio che offriva WiFi gratuito e non protetto da password, utilizzato da un cliente per condividere illecitamente un brano musicale. La Corte ha stabilito un principio duplice, valido ancora oggi come riferimento anche per gli operatori italiani:

1. il gestore di una rete WiFi aperta al pubblico non è responsabile delle violazioni commesse dagli utenti, agendo come semplice “mere conduit” ai sensi della direttiva sul commercio elettronico;
2. tuttavia, un giudice può comunque ordinare al gestore di proteggere la connessione con una password, previa identificazione dell’utente per ottenerla, come misura proporzionata per prevenire ulteriori violazioni — restando escluse misure più invasive come la disattivazione totale della rete o il controllo generalizzato delle comunicazioni.

Cosa resta davvero in capo al gestore oggi

Abolito l’impianto Pisanu, la posizione di albergatori e gestori con WiFi per i clienti va letta su tre piani distinti, spesso confusi tra loro.

1. Responsabilità penale per i reati commessi dagli ospiti

Non sussiste, salvo concorso attivo e consapevole del gestore nell’illecito. La semplice messa a disposizione di una connessione aperta non è di per sé fonte di responsabilità penale.

2. Responsabilità civile verso terzi (es. titolari di diritti d’autore)

Pur non essendo responsabile in prima battuta, il gestore rimane, in quanto titolare del contratto di connettività, il soggetto a cui il traffico viene formalmente imputato: se un titolare di diritti individua un illecito proveniente dall’IP della struttura, è il gestore a dover gestire l’eventuale diffida, salvo poi dimostrare la propria estraneità. Una rete protetta, isolata e tracciabile riduce questo rischio pratico, pur non essendo un obbligo di legge.

3. Trattamento dei dati personali (GDPR)

È il piano che oggi conta di più, e su cui il Decreto Pisanu non incide più in alcun modo. Se la struttura raccoglie qualunque dato per fornire l’accesso — nome su un captive portal, numero di camera, email, indirizzo MAC — quel trattamento ricade pienamente sotto il Regolamento (UE) 2016/679. Serve un’informativa privacy specifica, una base giuridica adeguata, tempi di conservazione proporzionati e le consuete misure di sicurezza tecniche e organizzative.

Rete aperta o protetta: il confronto pratico

Aspetto	Rete aperta (no password)	Rete con password/portale
Obbligo di identificare l’ospite	Nessuno (dal 2011)	Nessuno (dal 2011)
Rischio primo contatto per illeciti di terzi	Più alto	Più basso
Rischio uso improprio / accesso da esterno	Alto	Basso
Trattamento dati personali (GDPR)	Minimo, ma non nullo	Presente: serve informativa
Esperienza dell’ospite	Immediata	Un passaggio in più
Isolamento tra dispositivi (client isolation)	Spesso assente di base	Più facile da implementare

Buone pratiche per una struttura ricettiva

In sintesi

Il Decreto Pisanu, per ragioni di sicurezza nazionale nate all’indomani degli attentati del 2004-2005, aveva reso il WiFi pubblico in Italia un’eccezione onerosa. Dal 2011 quell’impianto è stato smontato quasi integralmente, e oggi offrire una rete WiFi libera e senza password in un hotel, in un bar o in un B&B è pienamente legale, senza obblighi di identificazione né autorizzazioni preventive.

Ciò non significa “zero responsabilità in assoluto”: la giurisprudenza europea lascia al giudice la possibilità di imporre, caso per caso, misure correttive come la password, mentre il vero terreno su cui oggi si gioca la responsabilità del gestore non è più quello penale del 2005, ma quello — assai più concreto e quotidiano — della sicurezza della rete e della protezione dei dati personali secondo il GDPR.