Molte strutture ricettive offrono ancora oggi una rete WiFi \u201caperta\u201d, senza password n\u00e9 captive portal, semplicemente perch\u00e9 \u00e8 comoda per l’ospite e per chi la deve gestire. La domanda che ogni albergatore, gestore di B&B o titolare di un locale con WiFi per i clienti dovrebbe porsi \u00e8 semplice: se un ospite usa quella rete per scaricare materiale illecito, diffamare qualcuno o commettere un reato informatico, chi ne risponde?<\/p>\n\n\n\n
La risposta richiede di guardare indietro di vent’anni, a una norma che ha segnato profondamente \u2014 e per certi versi ancora condiziona nell’immaginario comune \u2014 il modo in cui in Italia si pensa alla responsabilit\u00e0 di chi fornisce accesso a Internet: il cosiddetto Decreto Pisanu<\/strong>.<\/p>\n\n\n\n Dopo gli attentati di Madrid (2004) e Londra (2005), il governo italiano approv\u00f2 il D.L. 27 luglio 2005, n. 144, convertito con modificazioni dalla L. 31 luglio 2005, n. 155, recante misure urgenti per il contrasto del terrorismo internazionale. Il provvedimento, noto come Decreto Pisanu<\/strong> dal nome dell’allora Ministro dell’Interno Giuseppe Pisanu, conteneva all’art. 7 (commi 1, 4 e 5) un pacchetto di obblighi specifici per chi offriva punti di accesso pubblico a Internet, inclusi gli hotel e i pubblici esercizi:<\/p>\n\n\n\n Per un decennio questo pacchetto normativo \u2014 pensato per finalit\u00e0 di sicurezza pubblica e prevenzione antiterrorismo \u2014 \u00e8 stato il motivo per cui in Italia il WiFi libero, a differenza di molti altri paesi europei, restava un’eccezione: alberghi, bar e locali preferivano non offrire affatto la connessione, oppure la offrivano con complesse procedure di identificazione, proprio per non incorrere in responsabilit\u00e0 o sanzioni legate alla mancata identificazione degli utenti.<\/p>\n\n\n\n Il nucleo delle restrizioni, l’articolo 7 commi 4 e 5 del Decreto Pisanu, \u00e8 stato abrogato da una disposizione del decreto \u201cmilleproroghe\u201d di fine 2010, il D.L. 29 dicembre 2010, n. 225, convertito dalla L. 26 febbraio 2011, n. 10. Il ministro dell’Interno dell’epoca, Roberto Maroni, diede cos\u00ec seguito all’impegno preso mesi prima di superare gli obblighi introdotti dal decreto antiterrorismo, che erano stati oggetto di critiche trasversali perch\u00e9 considerati un freno allo sviluppo dei servizi WiFi nel Paese senza un reale beneficio in termini di sicurezza.<\/p>\n\n\n\n Da allora, chi gestisce una rete WiFi aperta al pubblico:<\/p>\n\n\n\n Il quadro \u00e8 stato ulteriormente confermato e consolidato dal D.L. 21 giugno 2013, n. 69 (il cosiddetto \u201cDecreto del Fare\u201d), che ha eliminato ogni residuo dubbio interpretativo sulla liberalizzazione. Oggi, quindi, un albergo pu\u00f2 legittimamente offrire WiFi gratuito e completamente aperto, senza password, senza registrazione dell’ospite e senza alcuna autorizzazione preventiva.<\/p>\n\n\n\n Anche quando l’obbligo di identificazione era ancora in vigore, la Cassazione aveva gi\u00e0 chiarito che il gestore di un punto di accesso pubblico non poteva essere ritenuto responsabile in via omissiva per ci\u00f2 che l’utente faceva online. Nella sentenza n. 6046\/2008, la Corte aveva osservato che il titolare di un Internet Point non solo non \u00e8 tenuto a conoscere il contenuto della navigazione dei propri utenti, ma che intercettarla costituirebbe reato ai sensi dell’art. 617-quater del Codice penale. L’obbligo di identificazione, allora vigente, serviva \u2014 secondo i giudici \u2014 solo a fini di prova successiva, non a impedire il reato: un principio che, caduto l’obbligo stesso, rende ancora pi\u00f9 solida la posizione del gestore.<\/p>\n\n\n\n A livello europeo, il punto di riferimento resta la sentenza della Corte di Giustizia UE del 15 settembre 2016, causa C-484\/14 (Tobias McFadden \/ Sony Music Entertainment Germany<\/em>), relativa a un negozio che offriva WiFi gratuito e non protetto da password, utilizzato da un cliente per condividere illecitamente un brano musicale. La Corte ha stabilito un principio duplice, valido ancora oggi come riferimento anche per gli operatori italiani:<\/p>\n\n\n\n IN SINTESI<\/strong> Abolito l’impianto Pisanu, la posizione di albergatori e gestori con WiFi per i clienti va letta su tre piani distinti, spesso confusi tra loro.<\/p>\n\n\n\n Non sussiste, salvo concorso attivo e consapevole del gestore nell’illecito. La semplice messa a disposizione di una connessione aperta non \u00e8 di per s\u00e9 fonte di responsabilit\u00e0 penale.<\/p>\n\n\n\n Pur non essendo responsabile in prima battuta, il gestore rimane, in quanto titolare del contratto di connettivit\u00e0, il soggetto a cui il traffico viene formalmente imputato: se un titolare di diritti individua un illecito proveniente dall’IP della struttura, \u00e8 il gestore a dover gestire l’eventuale diffida, salvo poi dimostrare la propria estraneit\u00e0. Una rete protetta, isolata e tracciabile riduce questo rischio pratico, pur non essendo un obbligo di legge.<\/p>\n\n\n\n \u00c8 il piano che oggi conta di pi\u00f9, e su cui il Decreto Pisanu non incide pi\u00f9 in alcun modo. Se la struttura raccoglie qualunque dato per fornire l’accesso \u2014 nome su un captive portal, numero di camera, email, indirizzo MAC \u2014 quel trattamento ricade pienamente sotto il Regolamento (UE) 2016\/679. Serve un’informativa privacy specifica, una base giuridica adeguata, tempi di conservazione proporzionati e le consuete misure di sicurezza tecniche e organizzative.<\/p>\n\n\n\n Il Decreto Pisanu, per ragioni di sicurezza nazionale nate all’indomani degli attentati del 2004-2005, aveva reso il WiFi pubblico in Italia un’eccezione onerosa. Dal 2011 quell’impianto \u00e8 stato smontato quasi integralmente, e oggi offrire una rete WiFi libera e senza password in un hotel, in un bar o in un B&B \u00e8 pienamente legale, senza obblighi di identificazione n\u00e9 autorizzazioni preventive.<\/p>\n\n\n\n Ci\u00f2 non significa \u201czero responsabilit\u00e0 in assoluto\u201d: la giurisprudenza europea lascia al giudice la possibilit\u00e0 di imporre, caso per caso, misure correttive come la password, mentre il vero terreno su cui oggi si gioca la responsabilit\u00e0 del gestore non \u00e8 pi\u00f9 quello penale del 2005, ma quello \u2014 assai pi\u00f9 concreto e quotidiano \u2014 della sicurezza della rete e della protezione dei dati personali secondo il GDPR.<\/p>\n\n\n\n AVVERTENZALe origini: il Decreto Pisanu del 2005<\/h2>\n\n\n\n
\n
La svolta: l’abrogazione del 2011<\/h2>\n\n\n\n
\n
Cosa diceva (e dice) la giurisprudenza<\/h2>\n\n\n\n
\n
Nessuna responsabilit\u00e0 automatica per il gestore, ma la password resta lo strumento che i giudici indicano come ragionevole compromesso tra libert\u00e0 d’impresa, diritto degli utenti a Internet e tutela dei terzi.<\/p>\n<\/div>\n\n\n\nCosa resta davvero in capo al gestore oggi<\/h2>\n\n\n\n
1. Responsabilit\u00e0 penale per i reati commessi dagli ospiti<\/h3>\n\n\n\n
2. Responsabilit\u00e0 civile verso terzi (es. titolari di diritti d’autore)<\/h3>\n\n\n\n
3. Trattamento dei dati personali (GDPR)<\/h3>\n\n\n\n
Rete aperta o protetta: il confronto pratico<\/h2>\n\n\n\n
Aspetto<\/th> Rete aperta (no password)<\/th> Rete con password\/portale<\/th><\/tr><\/thead> Obbligo di identificare l’ospite<\/td> Nessuno (dal 2011)<\/td> Nessuno (dal 2011)<\/td><\/tr> Rischio primo contatto per illeciti di terzi<\/td> Pi\u00f9 alto<\/td> Pi\u00f9 basso<\/td><\/tr> Rischio uso improprio \/ accesso da esterno<\/td> Alto<\/td> Basso<\/td><\/tr> Trattamento dati personali (GDPR)<\/td> Minimo, ma non nullo<\/td> Presente: serve informativa<\/td><\/tr> Esperienza dell’ospite<\/td> Immediata<\/td> Un passaggio in pi\u00f9<\/td><\/tr> Isolamento tra dispositivi (client isolation)<\/td> Spesso assente di base<\/td> Pi\u00f9 facile da implementare<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n Buone pratiche per una struttura ricettiva<\/h2>\n\n\n\n
\u2713 DA FARE<\/h3>\n\n\n\n
\n
\u2717 DA NON FARE<\/h3>\n\n\n\n
\n
In sintesi<\/h2>\n\n\n\n
Questo articolo ha finalit\u00e0 informativa e divulgativa e non costituisce consulenza legale. Per la valutazione di casi specifici si raccomanda di rivolgersi a un legale o a un consulente privacy.<\/strong><\/p>\n<\/div>\n\n\n\n